AWSでWebリクエストを受ける8パターンと「オリジンを裸にしない」設定プラクティス

ARANK

はじめに先日、X（旧Twitter）でこんな趣旨の話題が流れてきました。CloudFront + WAF → ALB の構成では、ALB の SG に CloudFront のプレフィックスリストを入れて直接アクセスを防ぐただし ALB のドメインが知られると、第三者が作った CloudFront 経由で WAF を迂回される。そのため秘密ヘッダーでの照合が必要さらに、CT Log が知られるようになってから、Host ヘッダー付きの攻撃が増えた元の投稿はこちらです。どちらも重要な指摘です。一方で、2024年11月に CloudFront VPC オリジン が登場してから、選べる構成はかなり変わっています。この記事では、AWS で Web リクエストを受ける代表的な 8 パターンを、公式ドキュメントの根拠付きで、構成図と設定プラクティスにまとめます。TL;DR公式ドキュメントから読み取れる優先順位は 「VPC オリジン / OAC（マネージド）→ 使えない場合のみ プレフィックスリスト＋秘密ヘッダー」プレフィックスリストだけでは不十分です。他人の CloudFront も同じ IP 帯から来るため、本体は秘密ヘッダーの照合ですCT Log にはオリジン用に取った証明書のホスト名が載るので、「ホスト名は知られる前提」で設計します新規構築なら VP…