えるしってるか CloudFrontはWAFがあってもカスタムエラーレスポンスを返せる

えるしってるか CloudFrontはWAFがあってもカスタムエラーレスポンスを返せる黒野雄稀 | 2023/3/29 1 JAWS-UG 名古屋
推しのAWSサービスを語るLT会

自己紹介黒野雄稀 Yuki Kurono kurono_98 kurono アイレット株式会社所属　普段はインフラ設計・構築や運用構築に従事
2022 APN ALL AWS Certifications Engineers 名古屋に住んでいるらしい 2

3 CloudFrontとは AWSで提供されるCDNサービスとなります。 450以上のPoint of Presenceのグローバルネットワークと48か国の90以上の都市にある13のリージョンレベルのエッジキャッシュを使用します

AWS Cloud 4 構成 WAF ALB S3 CloudFront

AWS Cloud 5 メンテナンス画面作れるらしい WAF(IP制限) ALB S3 CloudFront カスタムエラーレスポンス

いやでも待て。 CloudFrontの前段にWAFがあるから無理じゃない🤔

AWS Cloud 7 想像 WAF(IP制限) ALB S3 CloudFront カスタムエラーレスポンス
403

やってみた

ちゃんと動いたぞ。。許可IP接続時非許可IP接続時

10 ドキュメントつまり、403エラーはWAFが返してるのではなく、 CloudFrontから返ってきていた。

AWS Cloud 11 実際の動き WAF(IP制限) ALB S3 CloudFront カスタムエラーレスポンス
③カスタムエラーレスポンス ①403 ②コンテンツ取得

注意点 ①AWS WAF ルールを使用してカスタマイズした応答は、 CloudFront カスタムエラーページで定義した応答よりも優先されます。 ②CloudFrontはオリジンによって返された403と、 AWS WAFによってブロック時に返された403を区別できないです。

13 まとめ • CloudFrontのカスタムエラーレスポンスを使うと簡単にメンテナンスページが実現できる！ • WAFでブロックされたときにはWAFからレスポンスを返すのではなく、一旦CloudFrontに403を返している。 • 色々と面倒だけれども悪くはない。

Yuki_Kurono