CloudFront multi-tenantを使ってみる

Last-modified: Thu, 15 May 2025 15:39:33 JST (277d)

Top > CloudFront multi-tenantを使ってみる

CloudFront Multi-tenant を使ってみます。
オリジンであるS3について、バケット指定と静的ウエブホスティングの違いについても検証します。

前提条件

S3のファイル構成は以下のとおり。

test
 |---index.html
 |--hoo
 |   |--index.html
 |--hoge
     |--index.html

AWSコンパネより、「ディストリビューションを作成」をクリックします。
「Multi-tenant architecture」を選択します。
Distribution nameには作成するCloudFrontのNameタグに設定する内容をセットします。
また、Wildcard certificate にはACMで取得したSSL証明書をセットします。
Origin typeはAmazon S3を選択します。
S3 originにはホストするS3バケット名をセットします。Insert parameterプルダウンをクリックし、Create new parameterをクリックします。
Parameter nameにS3のパス名を指定するパラメタ名を作成します。これがテナントを識別するための変数名となります。
Origin pathに作成したパラメタ変数をセットします。
セキュリティ設定ですが、検証目的なのでWAFは省略します。
サマリーが表示されるので作成をします。
SettingsタブからEditをクリックします。
下の方にあるDefault root objectにindex.htmlを追加します。
同じくSettingsタブ内にあるCreate custom error responseをクリックします。
SPA用に403と404のそれぞれのレスポンスを作成します。

Domain & tenantsタブをクリックし、ディストリビューションテナントを作成をクリックします。
ディストリビューションテナント名はAWSアカウント内でユニークな識別子をつけます。テナントIDでなくてもいいですが、一度設定をすると変更不可です。
たとえば同じAWSアカウント内に開発とステージング環境が同居している場合、同じディストリビューションテナント名をつけられないので注意してください。
テナントに割り当てるSSL証明書をセットします。ここでNoneを選択するとSSL証明書がセットされないのではなく、デフォルトとしてCloudFront Multi-tenantディストリビューションにセットしたSSL証明書が使用されます。つまりその場合ディストリビューションのサブドメインになるという事です。
SSL証明書に対応するテナントに割り当てるドメインもペアでセットします。
Tenant parameter configurationで先ほど作成をしたパラメタ変数にセットする値を入れます。
セキュリティ設定はテナント毎に上書きをすることができます。今回はWAF無効化のままにします。
サマリーが表示されるので作成をします。

R53に作成をしたテナントのCloudFrontを割り当てます。手順は通常のCloudFrontをエイリアスレコードで指定するのと同じです。
正しく表示されました。
ではサブディレクトリにアクセスしてみます。すると正しく表示されず、ゼロバイトのファイルがダウンロードされます。
これは、CloudFrontのDefault root object設定はサブディレクトリに対しては補完をしてくれないからです。
サブディレクトリに対してもindex.htmlを補完しないといけない用途では、次の静的ウエブホスティングをオリジンとする必要があります。

S3のバケット設定より、静的ウエブホスティングを有効化します。
有効化したら、バケットウエブサイトエンドポイントを控えておきます。
CloudFrontのオリジンタブよりCreate originをクリックし、新たに静的ウエブホスティングをオリジンに追加します。
Origin typeはOtherを選択します。
Custom originの箇所に先ほど控えておいたS3のバケットウエブサイトエンドポイントからhttp://を除外した文字列をセットします。
Origin pathの箇所は同じです。
オリジンを差し替えるため、先ほど作成したテナントを無効化した上で削除します。
S3バケットの方のオリジンを削除します。
オリジンタブから作成したオリジンを選択し、Editをクリックします。
S3の静的ウエブホスティングはHTTPのみですので、プロトコルの箇所をHTTPのみに変更をします。これをしないとオリジンへアクセス不能になります。