AWS Cloudfrontを使ってhttps化したい

Question

・CloudFrontでS3のウェブサイトをSSL化する
https://qiita.com/jasbulilit/items/73d70a01a5d3b520450f

上記を参考に「AWS Certificate Manager(ACM)で証明書作成」の１までは出来たのですがそこから先にがうまくできません。

ACMの証明書作成は諸事情により「DNS の検証」を選択しています。

その後「検証保留中」のままなのを不審に思い、下記のAWSのdocsを開いて確認しました。
https://aws.amazon.com/jp/blogs/news/easier-certificate-validation-using-dns-with-aws-certificate-manager/

この手順の「ステップ 3: リクエストを確認する」までは行くのですが、「ステップ 4: リクエストを送信する」のような画面になりません。
※添付した画像のままです。ステップ３から１時間以上経過しています。

何が原因なのでしょうか。
ドメインはお名前.comで取得、Route53で各レコード追加し、アクセス可能となっています。

わかる方いらっしゃいましたらよろしくお願いします。

![]
※TXT確認画像

※先ほど確認したACMの画面

【追記】10/25 14:38
・AWS S3 を CloudFront 対応にする
https://www.aws-book.com/getting-started/cloudfront/s3.html
上記のサイトを参考にhttps://xxxxxxxxx.cloudfront.netにアクセスするとhttps化されたサイトが表示されていることが確認できました。
ということはClordFrontから本来のドメインに飛ばす設定ができていないということでしょうか、、

Answer 1

CNAMEレコードの追加は行いましたでしょうか？
Route53にCNAMEレコードの追加を行わないと、検証が行われません。

![

上記のように、画面に表示される値をCNAMEレコードとして登録する必要があります。

すみません、検証は解消したのですね。
時系列を勘違いしていました。

CloudFrontの該当ディストリビューションの設定、
GeneralのAlternate Domain Names (CNAMEs)はどうなっていますか？
アクセスを行うためのドメインは登録されていますでしょうか。

例えばhttps://www.aaa.com　をSSl化した上でアクセスしたい場合は
CNAMEsにwww.aaa.comが登録されている必要があります。

上記設定も正常に確認できている場合は、
同様にディストリビューションの設定でBehaviorsのCache Based on Selected Request Headersを確認、
noneなどになっていればAllに変更して試してみてください。

Comments

[wataame]

教えていただいた通りに「Edit Behavior」開いて確認したところ、Cache Based on Selected Request Headers：noneになっていました。ただAllを選択すると「You can not choose to forward all headers with an S3 origin.」とアラートが出ます。

[shakevo]

なるほど…
申し訳ありません、すぐには分からないため
頂いている情報を元に少し調べてみたいと思います。

尚念のための確認ですが、Route53では向け先をS3からCloudFrontにはされていますか？
CloudFrontのディストリビューションIDは相違ないでしょうか？

[wataame]

・ 尚念のための確認ですが、Route53では向け先をS3からCloudFrontにはされていますか？
＞こちらS3→CloudFrontに変更してあります。

・ CloudFrontのディストリビューションIDは相違ないでしょうか？
＞知識不足で申し訳ないのですが「ディストリビューションID」はCloudFrontのみでしか確認できないのですが他にもあるということでしょうか、、

[wataame]

【補足】Route53のTYPE AのAlias Target:をCroudFrontのものに変更しています。

[shakevo]

＞他にもあるということでしょうか
いえ、CloudFrontで確認するもので合っています。
語弊のある言い方で申し訳ございません…　ただ、たまに自分がディストリビューションIDを誤って入力してならないと騒ぐ時があったもので

①
現在接続接続したいドメインにpingを送って応答はありますか？
ex) ping aaaaa.com

②
CloudFrontの設定で、
General → SSL Certificateで今回作成したSSL証明書を選択していますか？

[wataame]

① 現在接続接続したいドメインにpingを送って応答はありますか？
＞ping: cannot resolve xxxxxxx.com: Unknown hostでした、、

②General → SSL Certificateで今回作成したSSL証明書を選択していますか？
＞こちら今回作成したものを選択しています。

補足ですがhttps://xxxxxxxxx.cloudfront.netにアクセスは可能でした、、内容も「index.html」などが表示されました、、

お名前.com側の設定が間違えているのでしょうか、、

[shakevo]

CloudFrontのオリジンにS3が設定されていれば繋がりそうなものですが、、
まだ不足しているか誤った設定部分があるのだと思います。
まだまだ勉強不足でした…。
もう少し調べてみます。すみません。

[wataame]

いえいえ、、こちらこそ未熟でお手数おかけしています、、
・CloudFrontのオリジンにS3設定
＞こちらAmazon S3 Bucketsの名前がプルダウンで出てきたのでそちらを選択しています。（Origin IDは自動設定になります。）

少しお聞きしたいのですが、
・ACMの証明書作成自体は成功していると考えて大丈夫でしょうか、、
・成功していると仮定した場合（https://dev.classmethod.jp/cloud/aws/tls-for-s3-web-hosting-with-cloudfront/）の「CloudFrontディストリビューションの作成」以降の手順を踏めばhttps://xxxxxx.comになるという理解でよろしいでしょうか、、

よろしくお願いします。

[shakevo]

＞証明書作成自体は成功していると考えて大丈夫でしょうか
はい、ACMの画面で「発行済み」かつ使用中「はい」になっていれば成功していると思います。

＞以降の手順を踏めば
私も昨日同様のページを見ました。
確証がないため適当なことをいうわけにもいかないのでご紹介致しませんでしたが、
個人的には怪しいと思っています。
もしwataameさんの環境で検証可能であれば、やってみる価値はあると思います。

--
また、根本的な解決案とは別の話とはなってしまうのですが、
もしどうしても解決しなかった場合は
個人の場合はAWSの開発者サポートプランおすすめです。
約3000円(29USD)お支払い可能であれば、メールでテクニカルサポートに技術問合せが可能なので、
S3やCloudFrontのIDなどを伝えればトラブルシューティングを詳細に行っていただけると思います。

[wataame]

コメントありがとうございます。
もし可能でしたらHACさんの方でこの記事は参考になるというのありましたら教えていただきたいです、、
（お時間あるときで構いません、、）

AWSの開発者サポートプラン問い合わてみます。

[shakevo]

見ていたサイトをガーッと貼ってしまいますね。
必ずしもwataameさんの環境に沿ったものではないことをご了承下さい。

公式ドキュメントによる手順
https://aws.amazon.com/jp/premiumsupport/knowledge-center/cloudfront-https-requests-s3/

手順が非常に丁寧に説明されているので
最初からやり直す場合は参考になるかもしれません
http://ryoichi0102.hatenablog.com/entry/aws-s3-https-cloudfront-acm

設定値まで丁寧に記載があります
https://rakuishi.com/archives/amazon-s3-cloudfront-acm/

こちらも設定値が細かく記載あります
http://developers.goalist.co.jp/entry/2018/04/25/170000

ディストリビューションにはS3のエンドポイントを設定します
（自動でサジェストされるやつではなく、手動で）
https://qiita.com/hanuman6/items/5c8a177f0e8743705557
https://blog.yuu26.com/entry/20180709/1531062547

↓同様っぽいケース Teratail？
https://teratail.com/questions/69159

--

今のところ「CloudFrontディストリビューションにはS3のエンドポイントを設定」というのが有力そうなのですが、これは当てはまりそうでしょうか？

ご確認の程お願い致します。

[wataame]

無事解決しました。
・ディストリビューションにはS3のエンドポイントを設定します
（自動でサジェストされるやつではなく、手動で）

（上記だけで解決したわけではないのですが、、）

無事https://xxxx.comが表示されました。
参考になるサイトやAWSサポートなどのアドバイス、最後まで丁寧に回答していただき本当にありがとうございます。

ベストアンサーは色んな提案していただき最短ルートで解決に導いてくださったHACさんにさせていただきます。本当にありがとうございます。

[shakevo]

BAありがとうございます！解決できたのですね！
本当に良かったです、一発で答えに導きたかったですが、力及ばず…

尚、他に何が不足していたのでしょうか？
もし差し支えなければ、参考程度にご教示頂けますと幸いです。

[wataame]

回答遅れました、、

今まだ整理できていないので正確なことはかけませんが下記にハマりやすい場所を書いておきますのでそちらを注意するだけでもだいぶ楽かと思います、、

【DNSを利用した場合の気をつけるべき点】
・ACMの発行
※他のサイトに記載してあるような必要なデータがでてこない場合があります。その場合は画面中央付近にあるエクスポートダウンロードリンクからDLしないといけないです。

・regionは北米バージニア（us-east-1）に設定
※他のサイトでは別の地域の設定になっている画像もありました。他の地域での検証はしておりませんので発行できるかは不明です。

・CloudFrontのディストリビューションのS3エンドポイント
※自動のプルダウンではなく、URLに『ap』が含まれるURLを手動で入力する必要があります。S3→プロパティ→Static website hosting→エンドポイント→https://ドメイン名.s3-website-ap-northeast-1.amazonaws.comで確認できます。

・独自ドメイン取得（国内サービス系）の場合、DNSなどの結果が反映されるのが最大72時間です。
※自分の場合は24時間くらいだったと思います。24時間超えるケースが見当たらなかったのでそれ以降はもう一度手順を確認し、各数値や設定があっている確認することをオススメします。

上記のいずれかが原因の可能性があったと思います。

あとはAWSのサポートプランもアリかと思います。（自分も検討しました、、）
https://aws.amazon.com/jp/premiumsupport/compare-plans/

以上かんたんな返答になってしまいますがご了承くださいませ。
（AWSなどは設定画面など結構変わってるので大変です、、）

[shakevo]

ご丁寧に回答いただきありがとうございます！
今後の参考にさせて頂ければ幸いです。

Answer 2

証明書の検証をDNSにしたのであれば、ACMの案内にある通りドメイン認証として、TXTレコードを作成する必要があったかと思います。
その作業はされましたか？

あと、Cloudfrontで利用するACMは確かリージョンus-east-1で作成する必要があったと記憶しています。

Comments

[wataame]

AWS→Route53→Hosted zone→ドメイン選択→TXTの画面を追加します。リージョン「us-east-1」にしています。

[wataame]

先ほどAWSのACM確認したら上記の画像のようになっていました。反映されるのは30分以上の場合もあるんですね、、

[wataame]

証明書無事「発行済み」になり、AWS→Cloudfront→General→Edit→SSL Certificate→Custom SSL Certificate (example.com)にチェック、プルダウンメニューから発行された証明書を選択→Yes.Editを押下してもhttps://.....exmple.comにアクセスしてもサーバが見つかりませんと表示されてしまいます。
http://も同じ状態になってしまいました、、この手順が間違っているのでしょうか。それともそのあとにまだやることがあるのでしょうか、、よろしくお願いします。

[wataame]

TXTレコードの追加作業は終えています。

[moonphase]

CloudFrontの設定はどのようになっていますか？
念の為設定した項目名を記載お願いします。

[wataame]

CloudFrontのDistribution Settingsで下記を設定しています。
・Alternate Domain Names
(CNAMEs)
・SSL Certificate
・Custom SSL Client Support
・Default Root Object