目的
LambdaでCloudFrontの署名付きURLを生成し、S3オブジェクトのキャッシングを実装。
S3とCloudFrontの直接参照は不可とする。
参考記事
【AWS】CloudFrontで署名付きURLの設定方法（プライベートコンテンツの配信）
S3
- 新規でバケットを作成し、ファイルをアップロード
- アクセス許可：パブリックアクセスを全てブロック
- 静的ウェブサイトホスティング：無効
CloudFront
- 新規ディストリビューションを作成
- オリジンドメイン：作成したS3バケット
- S3バケットアクセス：
- OAIを使用（新規で作成）
- バケットポリシー：自動更新
キーペアを生成後、「ビューアーのアクセスを制限する」を変更
キーペアの作成
今回はOpenSSLで生成
openssl genrsa -out private_key.pem 2048
openssl rsa -pubout -in private_key.pem -out public_key.pem
public_keyをAWSにアップロード
- CloudFrontの左メニューから「パブリックキー」を選択
- 新規で作成し、名前と内容を入力
- メニューから「キーグループ」を選択
- 新規で作成し、名前と、上記で作成したパブリックキーを選択し紐付ける
CloudFront Behavior
- 作成したCloudFrontディストリビューションを選択し編集
- 「ビヘイビア」メニューから作成済みのものを選択
- 「ビューアーのアクセスを制限する」を設定
- アクセスを制限する：YES
- 信頼された認可タイプ：Trusted key groups(recommended)
- キーグループを追加：作成したキーグループを選択
署名付きURLの発行【Lambda】
今回はNode.jsを使用
以下の手順でファイルを作成し、モジュールをzip形式でまとめる
mkdir modules
cd modules
npm i async
npm i aws-cloudfront-sign
- modulesディレクトリに「キーペアの作成」で作成したプライベートキーと、以下のファイルを設置
index.js
exports.handler = async(event) => {
const cloudFrontSign = require('aws-cloudfront-sign')
const expire = new Date();
expire.setTime(currentDate.getTime() + 24*60*60*1000);
const signedUrl = cloudFrontSign.getSignedUrl(
'CloudFrontのオリジンURL',
{
keypairId: 'キーペアID'
privateKeyPath: '.private_key.pem',
},
expire
);
return {JSON.stringify(signedUrl)}
}
- zip化
zip -r modules index.js private_key.pem node_modules/
- 新規でLambda関数を作成
- 「コード」メニューの「アップロード元」から、作成したzipファイルをアップロード後、デプロイ
APIゲートウェイ
- 新規でAPIゲートウェイを作成し、メソッドを定義
- 作成したLambda関数をAPIゲートウェイと紐付ける
動作確認
GETメソッドであればブラウザのURLから直接パスを入力して呼び出してもよし、そうでなければPostman等を使用するもよし。
返却されたURLを叩いてS3オブジェクトが参照できれば完了。
あとがき
- 使用しているモジュールのaws-cloudfront-signが暫くサポートされていないため、aws-sdkのAWS.CloudFront.Signerを使用するべき
- Lambdaに秘密鍵を設置するのはセキュリティ的に好ましくないため、パラメータストアやシークレットマネージャーを使用するべき（aws-sdkのSignerであれば、秘密鍵の情報をファイル指定ではなく文字列で渡せる）