CloudFront と ALB のアクセス制御

概要

CloudFront から ALB (アプリケーションロードバランサー) のみがアクセス可能な状態を作り出す方法について。CloudFront から ALB の HTTP リクエストにカスタムヘッダーを追加し、ALB 側でこのヘッダーを検証することでアクセスを制御します。

Q. オリジンアクセスコントロール (Origin Access Control, OAC) を利用してアクセス制御はできますか？

A. できません。OACはALBをオリジンにはサポートされておらず、S3バケットを制御する場合に有効な手段です。

制御方法	適用対象	実装の簡単さ	セキュリティ
オリジンアクセスコントロール	S3 バケット	高	IAM ポリシーを使用するため非常に強力
カスタムヘッダー制御	ALB、EC2 インスタンスなどの任意のオリジン	中	ヘッダー値を秘密にすれば高いセキュリティを実現
セキュリティグループ制御	ALB、EC2 インスタンス	中	CloudFront の IP 範囲に限定することで効果的な制御