概要

API Gatewayを使うとき手が届かないむずかゆいところがたくさんあります（HTTPSのみしか受け付けないとか、前段にWAFおけないとか）。
そのときに使われるのがCloudFrontになりますが（もちろん、API Gateway内部にCloudFrontが暗黙的に使われており、多段CloudFrontになるため遅延が大きいというのは承知）、API　Gatewayの前段用にCloudFront使うのもなんなのでS3オリジンの配信もやっちゃいたい、という内容です。

CloudFront + API Gateway + S3
S3はOAI(Object Access Identity)でアクセス制限
API Gatewayはカスタムオリジンヘッダによるアクセス制限はしない
- めんどいので
API Gatewayはキャッシュしない
Route53で取得したドメインを利用
ACMで取得した証明書をHTTPS通信に利用

アーキテクチャ構成

手順

Route53の設定（その１）

CloudFrontのエンドポイントを覚えやすいドメイン名にするため、Route53でドメイン名を取得して設定する必要があります。

Domain Resigtration
- 独自ドメインをRoute53から取得します。[Domain Registration]->[Resigter Domain]を選択し、ドメイン（xxxxxx.comなど）を取得してください。
- メインを取得すると、ダッシュボードが下記になります

ACM(Amazon Certificate Manager)で証明書作成

独自ドメインに対してhttpsアクセスするために証明書を作成します。

ACM画面
　
登録画面　
Route53で取得したドメインを登録します。
　
確定画面　
設定を確認し、確定します。確定するとドメインに関連付けられているメールアドレスにValidationメールが送付されます。
　
仮登録完了画面
　　
バリデーション画面
送付されてきたメールリンクを押下すると下記画面となります。承認を押して確定してください。
　
完了画面
　
ダッシュボード
完了までするとステータスが発行済みとなり、使用中でないことを確認してください。以後、これを使ってHTTPS通信における証明をします。

API Gatewayの設定

詳細は割愛しますが、下記手順で実施します。完了後にAPI Gatewayのデプロイ完了画面が表示されるはずです。下記画像の通り、各リソースごと（メソッドごと）にURLエンドポイントが発行されています。

API作成
リソース作成
メソッドの作成
APIをステージへデプロイ

ここで使うのはURLの、「https://XXXXXXX.execute-api.ap-northeast-1.amazonaws.com/prod」
までの部分です。

CloudFrontの設定（その１）

CloudFrontの設定に入ります。その１としているのは後でS3の設定が入るからです。
注意として、CloudFrontのデプロイにはめちゃくちゃ時間がかかる（20分くらい）ので、あせらず実施してください。時間のあるときにやってください。

CloudFrontを開くと下記画面が表示されるので、Distributionを作成します。
　
webを選択します。
　
Origin Settingsの設定
　
Behavior Settingsの設定

注意点としては、HOSTヘッダーはForwardさせてはいけない。なぜかというとAPI Gateway自体がSNI前提のバーチャルホスト構成なのでHOSTが切り替えられなくなってしまうため。
見切れている下記オプションについて
- Smooth Streaming：動画配信でないため「No」
- Restrict Viewer Access：今回は「No」
- Compress Objects Automatically：Gzip圧縮しないので「No」
- Lambda Function Associations：S3オリジンにファイルが入ってInvalidationAPIたたいたりする設定。今回は「設定しない」

Distribution Settingsの設定
見切れているオプションは特に変更せずデフォルトのままにする。
　
作成！

ダッシュボードに戻り、Statusが「In Progress」になります。ここから20分ほど、ぐつぐつ煮込んでください）
StateがEnabledになったら無事完了です。

Route53の設定（その２）

CloudFrontの代替名を独自ドメインにしたのでRoute53の設定が必要です。

上記で取得したドメインをCloudFrontへルーティングするためにDNSリソースレコードを追加する必要があります。[DNS management]->[Domain Name]を選ぶと作成したDNSリソースが記載された画面に移動します。
[Create Record Set]を選択
- Record setを下記の通り設定します。
- Name：ZoneApexを指定のため何も入力しない
- Type：Aレコード
- Alias：Yes
- Alias Target：CloudFrontDistribution名（xxxx.cloudfront.net.)
- Routing policy: Simple
- Evaluate Target Health: No
リソースレコードの登録が完了です。

中間CP

いったん、ここまでの設定が動作確認してみます。

API Gatewayは単純にSuccessと返すだけのMockエンドポイントを用意し、prodステージにデプロイしました。
- リソース名：success
ブラウザから動作確認
- アドレスバーに下記を入力して実行
- https://xxxxxx.com/success 　
- 補足）CloudFrontのDistribution設定でACMで取得した証明書を設定していない場合は下記のエラーになります。

CloudFrontの設定（その２）

現在の設定ではAPI Gatewayに対してのパスしかないので、S3オリジンとパスを追加します。

オリジンを追加するために、[Create Origin]を押下
　
S3オリジンの設定
　
S3オリジン設定完了
　
S3オリジンへのリクエストを受けるためのレスポンスを追加するために[Create Behavior]を押下
　
S3 Behaviorの設定
見切れているオプションについてはデフォルトのままで問題ありません。
　
S3 Behaviorの設定完了

S3のバケットプロパティの確認

CloudFrontからコンテンツ配信するために下記設定を確認してください。

Static website hosting：Enabledとなっていること

バケットポリシーはOAIのみAllowとなっていること

例えば以前にS3からStatic website hostingしていた場合、下記の設定が残っていることがあります。

bucket.json

    {
      "Version": "2008-10-17",
      "Id": "test",
      "Statement": [
          {
              "Sid": "1",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "*"
              },
              "Action": "s3:GetObject",
              "Resource": "arn:aws:s3:::bucket-name/*"
          }
      ]
    }

上記の場合、CloudFrontからのアクセス＋S3への直接アクセスも許可していることになり、OAIで絞り込んでいる意味がないため削除し、プリンシパルがCloudFrontのみのアクセスだけ残してください。