CloudFrontとLambda@Edge(Python3.9)によるBasic認証ハンズオン #AWS

はじめに

CloudFrontを経由してS3バケットの静的画面を作成したものの、特定のユーザからしかログインできないようなBasic認証を設定してみたい。

出来ることは知っているのに、なかなか自分で手を動かして構築しない出不精ですがGWということを理由に構築をしていきたいと思います。

Basic認証とは？

Webコンテンツの送受信で用いられるプロトコルHTTP(Hypertext Transfer Protocol)を利用します。

設定しているIDとパスワードを入力して、正しければ画面を表示させるといった認証機能のひとつです。

参照：IT用語辞典 BASIC認証[基本認証]

構成イメージ

・前提条件：AWSのCloudFront＋S3の静的HPを作成済
参照：AWS CLIを利用してAmazon S3静的ウェブサイトのホスティング

・上記で作成した構築に、Lambda@Edgeを利用してBasic認証を設定していきます

ハンズオン

1.IAMロールの作成

1.1 ポリシー作成

マネジメントコンソールから「IAM」に移動して「ポリシー」を作成します

参照：Lambda@Edge 用の IAM アクセス権限とロールの設定
上記URL先にLambda@Edgeを利用する際に必要なIAMの説明があります

IAMポリシー詳細

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:GetFunction",
                "lambda:EnableReplication*",
                "iam:CreateServiceLinkedRole",
                "cloudfront:CreateDistribution",
                "cloudfront:UpdateDistribution"
            ],
            "Resource": "*"
        }
    ]
}

1.2「ロール」を選択し「ロールを作成」を押下する

1.3 「AWSのサービス」を選択、「Lambda」にチェックして「次へ」を押下する

1.4 作成したポリシーを選択して「次へ」を押下し、作成後ロールの名前を付けて作成する

1.5 作成したロールを選択して「信頼関係」タブを押下して内容を一部変更

Lambda@Edgeにもロールを引き受けることが出来るように"edgelambda.amazonaws.com"の一文を付け加えています
参照：サービスプリンシパルの関数実行ロール

信頼関係詳細

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "edgelambda.amazonaws.com",
                    "lambda.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

2.Lambda関数の作成

2.1 マネジメントコンソールからリージョンを「バージニア北部」に移動する

2.2 マネジメントコンソールから「Lambda」を選択し「関数の作成」を押下する

2.3 「Lambda」のコードを修正してデプロイをする

import base64

def authenticate(user, password):
#認証ユーザ・パスワードの設定
    return user == 'test' and password == 'test'


def lambda_handler(event, context):
    request = event['Records'][0]['cf']['request']
    headers = request['headers']

    error_response = {
        'status': '401',
        'statusDescription': 'Unauthorized',
        'body': 'Authentication Failed',
        'headers': {
            'www-authenticate': [
                {
                    'key': 'WWW-Authenticate',
                    'value': 'Basic realm="Basic Authentication"'
                }
            ]
        }
    }

    if 'authorization' not in headers:
        return error_response

    try:
        auth_values = headers['authorization'][0]['value'].split(" ")
        auth = base64.b64decode(auth_values[1]).decode().split(":")
        (user, password) = (auth[0], auth[1])
        return request if authenticate(user, password) else error_response
    except Exception:
        # フォーマット不正など
        return error_response