🎯 目的

この構成で達成したいことは以下です。

インフラ構成のコード化（IaC）
環境差異の排除（dev / stg / prod）
再現性・引き継ぎ耐性の向上

CloudFormationを使うことで、
誰が・いつ構築しても同じインフラを作れる状態を目指します。

🏗 全体構成

CloudFront
↓
S3（Frontend / SPA配信）

API Gateway → Lambda → DynamoDB
認証：Cognito User Pool

🔧 各サービスの役割

S3
フロントエンド（SPA）の静的ホスティング
CloudFront
CDN + HTTPS終端
API Gateway
API公開・認証連携
Cognito
ユーザー認証（JWT発行）
Lambda
バックエンド処理
DynamoDB
サーバレスなデータストア

フルマネージド構成のため、
EC2・AutoScaling・パッチ管理は一切不要です。

📄 CloudFormationテンプレート（最小構成）

以下は全体像を把握するためのシンプルな例です。

  AWSTemplateFormatVersion: '2010-09-09'
  Description: Serverless Web App Infrastructure
  Resources:
    AppBucket:
      Type: AWS::S3::Bucket

    UserPool:
      Type: AWS::Cognito::UserPool
      Properties:
        UserPoolName: sample-user-pool
        AutoVerifiedAttributes:
          - email

    UserPoolClient:
      Type: AWS::Cognito::UserPoolClient
      Properties:
        UserPoolId: !Ref UserPool
        GenerateSecret: false

    AppTable:
      Type: AWS::DynamoDB::Table
      Properties:
        BillingMode: PAY_PER_REQUEST
        AttributeDefinitions:
          - AttributeName: id
            AttributeType: S
        KeySchema:
          - AttributeName: id
            KeyType: HASH

    LambdaRole:
      Type: AWS::IAM::Role
      Properties:
        AssumeRolePolicyDocument:
          Version: '2012-10-17'
          Statement:
            - Effect: Allow
              Principal:
                Service: lambda.amazonaws.com
              Action: sts:AssumeRole
        ManagedPolicyArns:
          - arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

    AppFunction:
      Type: AWS::Lambda::Function
      Properties:
        Runtime: nodejs18.x
        Handler: index.handler
        Role: !GetAtt LambdaRole.Arn
        Code:
          ZipFile: |
            exports.handler = async () => {
              return {
                statusCode: 200,
                body: "ok"
              };
            };

    Api:
      Type: AWS::ApiGateway::RestApi
      Properties:
        Name: sample-api

    CloudFrontDist:
      Type: AWS::CloudFront::Distribution
      Properties:
        DistributionConfig:
          Enabled: true
          DefaultCacheBehavior:
            TargetOriginId: s3origin
            ViewerProtocolPolicy: redirect-to-https
          Origins:
            - Id: s3origin
              DomainName: !GetAtt AppBucket.DomainName
              S3OriginConfig: {}

⚠️ 実運用で必ず追加する要素

1. API Gateway と Lambda の統合

以下のリソースが必要です。

AWS::ApiGateway::Resource
AWS::ApiGateway::Method
AWS::Lambda::Permission

これがないと
「APIは存在するが実行できない」状態になります。

2. Cognito Authorizer

API Gateway に Cognito Authorizer を設定
JWT検証を API Gateway 側で実施

Lambdaに認証ロジックを書かずに済むのが最大の利点です。

3. IAM最小権限設計

ManagedPolicyだけに頼らず、
DynamoDBアクセスなどはインラインポリシーで明示します。

4. CloudFront + OAC

S3の直接公開を禁止
CloudFront経由のみアクセス許可

セキュリティレビューではほぼ必須です。

🚀 デプロイ方法

aws cloudformation deploy
--template-file template.yaml
--stack-name sample-stack
--capabilities CAPABILITY_NAMED_IAM

💡 CloudFormationを使う理由（現場視点）

AWS標準IaCでガバナンスが強い
監査・引き継ぎ・レビューに強い
長期運用・大規模システム向き

TerraformやCDKと比べると柔軟性は劣りますが、
企業システムでは今も第一候補になるケースが多いです。

🏁 まとめ

この構成は、

フロント：S3 + CloudFront
認証：Cognito
API：API Gateway + Lambda
データ：DynamoDB

という AWSサーバレスの王道パターンです。

CloudFormationを使うことで、

再現性が高い
属人化しない
長期運用に耐える

インフラを構築できます。