はじめに
今回はAmazon CloudFrontに署名付きCookieを設定するまでの手順（AWSコンソール上での手動設定）をまとめてみました。
少しでも参考になれば幸いです。
関連記事を公開していますので、ぜひ合わせてご参照ください。
前提
CloudFrontに登録する公開鍵（RSA鍵ペアの片方）が作成済みであること
操作の流れ
- CloudFrontパブリックキーを登録
- CloudFrontキーグループを作成
- CloudFrontディストリビューションに保護用ビヘイビアを追加
1. CloudFrontパブリックキーを登録
公開鍵をCloudFrontに登録します。
AWSコンソール >> CloudFront >> キー管理 >> パブリックキー画面に遷移し、「パブリックキーを作成」を押します。
①わかりやすい名前を入力します。
②わかりやすい説明を入力します。
③作成済みの公開鍵（例：gif_public_key.pem）の中身をそのまま全部貼ります。
④「パブリックキーを作成」を押します。
IDが'K'から始まるパブリックキーが登録されます。
2. CloudFrontキーグループを作成
CloudFrontキーグループは、署名付きURL・署名付きCookieの公開鍵を（複数）管理する仕組みです。
CloudFrontディストリビューションには、CloudFrontパブリックキーではなく、このCloudFrontキーグループを紐づけます。
※AWS KMSは署名付きCookieの公開鍵登録先にはならないため、CloudFrontキーグループを利用します。
なぜキーグループが必要か
公開鍵をAを削除し、新しく公開鍵Bを登録したいケースなどでは、キーグループの中で公開鍵AとBをしばらく共存させることで、鍵ローテーションをスムーズに行うことが可能になります（古いCookieの全滅を防ぐ）
AWSコンソール >> CloudFront >> キー管理 >> キーグループ画面に遷移し、「キーグループを作成」を押します。
①わかりやすい名前を入力します。
②わかりやすい説明を入力します。
③先ほど作成した公開鍵を選択します。
④「Create key group」を押します。
3. CloudFrontディストリビューションに保護用ビヘイビアを追加
AWSコンソール >> CloudFront >> ディストリビューション画面に遷移し、対象のディストリビューションを選択します。
「ビヘイビア」タブを開き、「ビヘイビアを作成」を押します。
①「パスパターン」に、今回アクセスを制限したいパスを入力します。
②「オリジンとオリジングループ」には、default behaviorと同じS3(OAC)オリジンを選択します。
③④⑤デフォルトの設定を使用します。
①「ビューワーのアクセスを制限する」で「Yes」を選択します。
②「信頼された認可タイプ」で「Trusted key groups (recommended)」を選択します。
③先ほど作成したキーグループを選択します。
④⑤デフォルトの設定を使用します。
「Create behavior」を押します。
/images/completion-gift-*は/api/*やデフォルト(*)より具体的なパスなので、ビヘイビアの優先順位が上位に来るよう設定します。
①対象のビヘイビアを選択します。
②「上へ移動」を押します。
③「保存」を押します。
AWSコンソール上での設定は以上になります！
秘密鍵のセットアップ手順や、実際にアプリの実装と連携した記事もぜひ合わせご参照ください。
最後までお読みいただきありがとうございました。