はじめに

CloudFront経由のS3ファイルへのアクセスに、署名付きURL発行を追加していきたいと思います

構築準備

前提条件

AWSのCloudFront＋S3の静的HPを作成済
参照：AWS CLIを利用してAmazon S3静的ウェブサイトのホスティング

ハンズオン前の画面状態

CloudFront設定時のドメイン又は、カスタムドメインでアクセスが可能な状態

構築手順

①ローカルでパブリック・プライベートキーの作成
②作成したパブリックキーをCloudFrontへ登録（key-pair-id発行）

こちらの画像はkey-pair-idを入手後、署名付きURLを発行してから、コンテンツを入手するまでのフローです。

ハンズオン

ローカルでプライベートキー・パブリックキーの作成

参考：署名者のキーペアの作成

プライベートキーの作成

OpenSSL を使用して 2,048 ビット長の RSA キーペアを生成し、private_key.pem という名前のファイルに保存

openssl genrsa -out private_key.pem 2048

パブリックキーの抽出

private_key.pem という名前のファイルからパブリックキーを抽出

openssl rsa -pubout -in private_key.pem -out public_key.pem

CloudFrontでの設定（パブリックキーの登録）

パブリックキーを CloudFront にアップロードする

サービス『CloudFront』から左ペイン『パブリックキー』を選択して、『パブリックキーを作成』押下

パブリックキーを作成

名前を入力して、__パブリックキー__の値をPEM形式で貼り付ける

【確認のコマンド】
キーについては下記コマンドで表示、コピーして入力する

cat public_key.pem | pbcopy

取得してコピーされた値を入力して、CloudFrontにパブリックキーを作成する

パブリックキーをキーグループに追加する

キーグループを作成してパブリックキーを入力する

キーグループ作成

CloudFrontでの設定（ディストリビューションでの設定）

署名付きURLの対象とするディストリビューションを選択

ビヘイビアの設定

『ビヘイビアの設定』から、『ビューワーのアクセスを制限する』を画像のように設定・選択をする

デプロイが終了したら完了

デプロイ前では署名付きURLは発行されません

ターミナルから署名付きURLを発行する

※key-pari-idとは、パブリックキーのIDです。キーグループのIDではありません

署名付きURL発行コマンド

より詳細に設定する場合
参考:AWS CLIコマンドリファレンス

aws cloudfront sign --url  https://XXXXXXXXXX.cloudfront.net/index.html --key-pair-id XXXXXXXXXX  --private-key file://private_key.pem --date-less-than 2022-07-11

上記コマンドに対してのレスポンス

https://XXXXXXXXXX.cloudfront.net/index.html?Expires=XXXXXXXXXX&Signature=XXXXX(中略)XXXXX&Key-Pair-Id=XXXXXXXXXX

挙動確認

返却されたURLにアクセスする

想定通りにアクセスすることが出来ました

署名なしでアクセスする

当然ですがアクセスすることは出来ません
<Code>MissingKey</Code>と表示されます

日付が過ぎた状態でアクセスする

当然ですがアクセスすることは出来ません
<Code>AccessDenied</Code>と表示されます

さいごに

署名付きURLを発行してオブジェクトへのアクセスをハンズオンしてみました。
当初オブジェクトへのアクセスのためS3での設定かと思っていたのですが、CloudFrontだけの設定で済むものかと思ってませんでした。
オリジンのS3に対するアクセス制御の一つに署名付きURLが設定できると、少しは認識を深めることが出来ました（「おま、ちょ認識違うぜww」などありましたら、甘んじで受け入れる所存です。）