これはなに

AWS ClouFrontで公開されるサイトのメンテナンスページの表示方法について検討する際に迷ったことがあったので、実装方法や疑問点など紹介します。

背景

・CloudFrontの前段にはAWSWAFが配置されており、IP制限等で接続ユーザーを管理できるようにしてある。
・404エラーなどはカスタムエラーレスポンスでページを表示したい。
・不定期なメンテナンスに備え、任意のタイミングでメンテナンスページへ移行できるようにしておきたい。

構成のざっくりとした全体像は以下の通りです。

調べてみると以下のような構成にすることで、メンテナンスページを簡単に作れると複数発見。
仕組みとしては以下のようになる。

しかし、ん？でもCloudFrontの前段にWAFがあるから無理じゃない？？と思いました。
そもそもWAFでブロックされるんだからCloudFrontには到達しないよね？と。

なので、以下の図のような状態を私の中では想定。

許可されたIPアドレスなので、そうていのコンテンツが表示される。

WAFでブロックされているはずなのに設定したカスタムエラーレスポンスがちゃんと返ってくる。。

つまり、403エラーはWAFが返してるのではなく、
CloudFrontから返ってきていたのだ

上記の調べてみた前提をもとにAWS WAFでブロックされた際の処理フローを図解してみると以下のようになります。

②CloudFrontはオリジンによって返された403と、
AWS WAFによってブロック時に返された403を区別できないです。