常連

CloudFront+S3の環境でS3にhttpsでPOSTしたい。

CloudFrontでhttpsでS3のバケットにPostしたいです。
CloudFrontを使うのはACMで証明書を使いたいというのと、基本認証を入れたいという目的があります。
（基本認証はまだいれてないです）

外側からHttpsでファイルがアップロードする環境を作ってます。
なるべく簡単な仕組みでS3にアップロードし、保存できる仕組みを作りたいと考えております。
（長期保存して○○の分析をしたいとかではなく、あくまで簡潔にアップロードできて保存できればよい）

Cloudfrontの許可されたHTTPメソッドは以下のようにしています。
GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE


S3のバケットのアクセスポリシーは以下の通りです。
```ここに言語を入力
{
    "Version": "2008-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity HOGEHOGEHOGEHOGEHOGE"
            },
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::hogehogehoge-test.fugafugafugafuga.com/*"
        }
    ]
}
```

PUTだとファイルをアップロードすることができるのですが、CloudFrontでPOSTを許可しているのにアップロードすると405が出てしまい、失敗します。
```ここに言語を入力

* upload completely sent off: 14 out of 14 bytes
< HTTP/1.1 405 Method Not Allowed
< Content-Type: application/xml
< Transfer-Encoding: chunked
< Connection: keep-alive
< Allow: HEAD, DELETE, GET, PUT
< Date: Wed, 06 Apr 2022 05:31:09 GMT
< Server: AmazonS3
< X-Cache: Error from cloudfront
< Via: 1.1 907f35c342230a570151549d009005d8.cloudfront.net (CloudFront)
< X-Amz-Cf-Pop: NRT12-C5
< X-Amz-Cf-Id: bura-bura-bura-hogehogehogehoge_fugafugafuga==
```

ググるとS3はPOSTできないような記事が見つかりますが、CloudFrontを使ってもPOSTできないでしょうか？
あまり複雑な仕組みにはしたくなくて、CloudFrontを使う形でなくても簡単にできる仕組みがあればそれでもいいと思ってます。

お知恵を拝借できますでしょうか。


CloudFront+S3の環境でS3にhttpsでPOSTしたい

wordpress用にEC2でインスタンスを作成し、ロードバランサーの設定をしました。
今後、cloudfrontを用いてアクセスを裁くためにcloudfrontのオリジンに
ロードバランサーを指定したいと考えています。

ロードバランサーのDNS名 XXXXXXXXXXXXX.ap-northeast-1.elb.amazonaws.com
をブラウザに入力したところ、404 not found になりました。nginxは表示されています。

![イメージ説明](049beac5dda4212a3b4dd059ee36c678.png)

またchromeの左上には「保護されていない通信」と表示されていました。
このような場合、ロードバランサーの設定が間違っているのでしょうか。
認証関係でしょうか。
どのような箇所の確認をすべきか教えていただければ幸いです。

AWSのロードバランサーのDNS名でアクセスできない

### 実現したいこと
Cloudfrontの仕組みを知りたいです

### 前提
こちらにAWSで利用されているIPアドレス一覧があります。
この一覧は公式情報です。
常に最新の情報が提供されています。
https://ip-ranges.amazonaws.com/ip-ranges.json

`service`に`CLOUDFRONT`が付いているIPアドレス範囲がCloudfrontで利用されているIPアドレス範囲です。
とても多くのIPアドレスがCloudfront用として利用されているようです。

### 質問
何故多くのIPアドレスが必要なのでしょうか？

### 調べたこと
IPアドレスを多く利用しない方法として[IP Anycast](https://jprs.jp/glossary/index.php?ID=0108)という方法があるようです。

BGP経路情報をもとに最適な経路で通信がされるので、経路的に最適なサーバーが自動で選択されてIPアドレスも多く必要ないのでいい事ばかりのような気がします。
（おそらく多くのIPアドレスを持つ事は維持コストもかかると思うので）

こちらのような方式を利用すればCloudfrontでも1つのIPアドレスだけで良いのではないでしょうか？
なぜCloudfrontは多くのIPアドレスが必要なのでしょうか？

また、IPアドレスは`region`が`GLOBAL`になっており、全世界でIPアドレスがバラバラに利用されているようです。
IPアドレス範囲AはAWS`東京`リージョンだけで利用されて、
IPアドレス範囲BはAWS`大阪`リージョンだけで利用されて、
・・・
という事ではないようです。

GLOBALで利用されてIPアドレスが世界中のサーバーに振り分けられている状況でどのように最適なサーバーが選択されているのでしょうか？
仮にIPリストからラウンドロビンのようにランダムなサーバーが選ばれている場合、Cloudfrontのメリットである「高速伝送」「低遅延」と言えるでしょうか？日本から閲覧する場合は日本サーバーが近いので日本サーバー（東京または大阪）が選択されるべきという気がします。海外サーバーが選択されてしまうと遅くなるはずです。

それを回避するために何らかの処理をCloudfront内部的に行っているとすると多くのIPアドレスが必要なCloudfrontの今の仕組みはIP Anycastと比べるととても複雑な仕組みになっているように思います。

また、多くのIPアドレスがあるということは多くのサーバーがあるということなのでCloudfrontのキャッシュヒット率も相当低くなるのではないでしょうか。
CloudfrontのIPアドレスは追加され続けているようです。今後もIPアドレスが追加され続けると更にキャッシュヒット率が低くなり続けると思います。
IP AnycastであればBGP情報をもとに常に最適なサーバーが自動で選択されるのでサーバーが増えたとしてもキャッシュ率は高いのではないでしょうか。
日本から閲覧する場合はAWS東京かAWS大阪が選択されるはずです。
現在のCloudfrontのようにアクセスするたびにランダムにIPアドレスが変化する事はないはずです。

※以下コマンドの結果は変化し続けます。
数秒単位では変化しませんが応答されるIPアドレスは変わり続けます。
```
$ dig a xxxxx.cloudfront.net

;; ANSWER SECTION:
xxxx.cloudfront.net. 60 IN    A       13.225.165.4
xxxx.cloudfront.net. 60 IN    A       13.225.165.29
xxxx.cloudfront.net. 60 IN    A       13.225.165.115
xxxx.cloudfront.net. 60 IN    A       13.225.165.52
```

仮に以下のような構成だとIPアドレスは少なくて良いですが（リージョンごとに1個で良いはず）
ロードバランサ自体がネットワーク帯域が多すぎて耐えられないのでダメという事でしょうか？
※インスタンス自体にはプライベートIPアドレスを付与して、グローバルIPアドレスは付与しない
![](https://ddjkaamml8q8x.cloudfront.net/questions/2023-02-21/281b0a13-2c1a-48e6-b17b-239fbd56903c.png)

# 参考
こちらの資料に目を通しましたがIPアドレスが多く必要な理由はわかりませんでした。
https://pages.awscloud.com/rs/112-TZM-766/images/AWS-29_AWS_Summit_Online_2020_NET02.pdf

Cloudfrontの仕組みを知りたい

### CloudFrontからs3のバケットへアクセスしたい

s3の静的ファイルをcloudfrontを使って表示させようとしてるのですが、うまくいきません。
詰まっている内容としてはcloudfrontへ複数originを設定していることが大きな要因だとは思うのですが、原因を特定するとことができませんでした。

### 発生している問題・エラーメッセージ

エラーメッセージ
```
This XML file does not appear to have any style information associated with it. The document tree is shown below.
<Error>
<Code>AccessDenied</Code>
<Message>Access Denied</Message>
<RequestId>K4T15V3ASB9A75EM</RequestId>
<HostId>K43yz2wt2bfht3Jolrnw601ECoXgXC6nWwqDrQ2Kt9NubtluBD/hX72sxEFj4ZhNXsGgzbfpmUk=</HostId>
</Error>
```

### 設定
画像が添付できなかったのでgoogledriveへあげたのでこのリンクを見ていただけるとorigin,ビヘイビアに関する設定がご覧いただけます。
https://drive.google.com/drive/folders/1MbTPVjFbuZLMhJHxo3UdWKATY6qLaYxa?usp=sharing

apoigatewayは問題なく使えるのですが、そのほかのs3へのアクセスに関しては上記のエラーが出てしまい、うまくいけません。
また、s3のバケットポリシーは以下の通りです。
よろしくお願いします。
```
{
    "Version": "2008-10-17",
    "Id": "test",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::****-notauth/*"
        }
    ]
}
```

cloudfrontからs3のバケットを表示させたい

###前提・実現したいこと
AWSのlightsailを使用して、通常のAmazonLinux2に諸々インストールしてLＡＭＰ環境を構築しています。
またphpMyAdminを利用したく、同一Webサーバー内にてphpMyAdmin運用をしようとしています。



●環境
AWS Lightsail(Amazon linux 2)
PHP7.4 / MySQL 8.0 / Apache 2.4
phpMyAdmin

●使用サービス
Certificate Manager（証明書取得で使用）
Cloudfront（ACMで取得したSSL証明書の設定で使用）
Route53 （ドメイン取得、各レコード設定で使用）


これを参照してSSL化しました。
https://dev.classmethod.jp/articles/make-amazon-lightsail-instance-https/

###発生している問題・エラーメッセージ
SSL化をした段階でphpMyAdminにログインしようとすると
```
「Failed to set session cookie. 
Maybe you are using HTTP instead of HTTPS to access phpMyAdmin.」
が表示されます。


日本語訳だと
セッションCookieの設定に失敗しました。
phpMyAdminへのアクセスにHTTPSではなくHTTPを使用している可能性があります。

```


SSL化する前まではログインできていたので、SSL化した後にphpmyadmin/以降のディレクトリにアクセスできないという事象になります。

###解決したいこと


おそらくapacheのSSL設定まわりかcloudfrontのHTTPやHTTPSの設定ができていないんだと思います。

SSL化する前まで~~はログインできていたので、~~もログインできていなかった気がします。
SSL化した後にphpmyadmin/以降のディレクトリにアクセスできないという事象になります。






###追記　　起きている事象のパターンかきます

まずSSL化状態の

https://○○○/phpMyAdminでアクセスすると英語表記になります。

ログインしようとすると下記504エラーが出力されます。

#####タイムアウトの上限設定が原因？
apache設定ファイルでタイムアウトを上限まで変えましたが同様です。CloudFront側でもタイムアウトを上限まで上げましたが同様でした。

```

「504 ERROR
The request could not be satisfied.
CloudFront attempted to establish a connection with the origin, but either the attempt failed or the origin closed the connection.
 We can't connect to the server for this app or website at this time. 
There might be too much traffic or a configuration error. 
Try again later, or contact the app or website owner.
If you provide content to customers through CloudFront,
 you can find steps to troubleshoot and help prevent this error by reviewing the CloudFront documentation.」
```

おそらくタイムアウト設定は関係なく、CloudFrontでSSL化した際の設定とかApache設定ファイルに問題があるかとは理解してます。


#####httpとhttpsそれぞれでアクセスしたときの違い

**https**://○○○/phpMyAdmin

英語表記になる。
ログインすると上記の504エラー出る　→　サイト更新すると一番最初に記載した問題の下記が出力されます
```
「Failed to set session cookie. 
Maybe you are using HTTP instead of HTTPS to access phpMyAdmin.」
```
___

**http**://○○○/phpMyAdmin

日本語表記になる。　SSL化する前のインストールした状態と同じ。

ログインすると上記の504エラー出る　→　サイト更新すると一番最初に記載した問題の下記が出力されます
SSL化する前のphpMyAdminインストールした当初はログインできていたのですが、今は504エラーが出ます。



___


**https**://○○○/**phpinfo.php**

phpMyAdmin以外は普通に何の問題もなく表示されます。


___

#####cloudfrontにSSL証明書設定後、apacheですべき設定は何でしょうか？

これを参照してSSL化しました。
https://dev.classmethod.jp/articles/make-amazon-lightsail-instance-https/

以下、apahceの設定ファイルです。


var/www/phpMyAdmin/のユーザーとグループの所有者はapacheに変えました。

######追記　httpd.confの中身　
mod_sslを入れたところ、ssl.confが編集できるようになったのでssl.confを設定した上でhttpd.confを編集しました。

```httpd.conf



#
# ServerRoot: The top of the directory tree under which the server's
# configuration, error, and log files are kept.


#
ServerRoot "/etc/httpd"

#

#Listen 12.34.56.78:80
Listen 80

#
# Dynamic Shared Object (DSO) Support
#
#
#
# Example:
# LoadModule foo_module modules/mod_foo.so
#
Include conf.modules.d/*.conf

#
User apache
Group apache

# 'Main' server configuration
#

#
ServerAdmin root@localhost

#

#
#ServerName www.example.com:80

#

#
<Directory />
    AllowOverride None
    Require all granted
</Directory>

#

#
DocumentRoot "/var/www/html"

#
# Relax access to content within /var/www.
#
<Directory "/var/www">
    AllowOverride None
    # Allow open access:
    Require all granted
</Directory>

# Further relax access to the default document root:
<Directory "/var/www/html">
    #
    # Possible values for the Options directive are "None", "All",
    # or any combination of:
    #   Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews
    #
    # Note that "MultiViews" must be named *explicitly* --- "Options All"
    # doesn't give it to you.
    #
    # The Options directive is both complicated and important.  Please see
    # http://httpd.apache.org/docs/2.4/mod/core.html#options
    # for more information.
    #
    Options Indexes FollowSymLinks

    #
    # AllowOverride controls what directives may be placed in .htaccess files.
    # It can be "All", "None", or any combination of the keywords:
    #   Options FileInfo AuthConfig Limit
    #
    AllowOverride None

    #
    # Controls who can get stuff from this server.
    #
    Require all granted   
</Directory>

#
# DirectoryIndex: sets the file that Apache will serve if a directory
# is requested.
#
<IfModule dir_module>
    DirectoryIndex index.html
</IfModule>

#
# The following lines prevent .htaccess and .htpasswd files from being 
# viewed by Web clients. 
#
<Files ".ht*">
    Require all denied
</Files>

#

#
ErrorLog "logs/error_log"

#
# LogLevel: Control the number of messages logged to the error_log.
# Possible values include: debug, info, notice, warn, error, crit,
# alert, emerg.
#
LogLevel warn

<IfModule log_config_module>
    #
    # The following directives define some format nicknames for use with
    # a CustomLog directive (see below).
    #
    LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
    LogFormat "%h %l %u %t \"%r\" %>s %b" common

    <IfModule logio_module>
      # You need to enable mod_logio.c to use %I and %O
      LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %I %O" combinedio
    </IfModule>

    #
    # The location and format of the access logfile (Common Logfile Format).
    # If you do not define any access logfiles within a <VirtualHost>
    # container, they will be logged here.  Contrariwise, if you *do*
    # define per-<VirtualHost> access logfiles, transactions will be
    # logged therein and *not* in this file.
    #
    #CustomLog "logs/access_log" common

    #
    # If you prefer a logfile with access, agent, and referer information
    # (Combined Logfile Format) you can use the following directive.
    #
    CustomLog "logs/access_log" combined
</IfModule>

<IfModule alias_module>
    #

    # Example:
    # Redirect permanent /foo http://www.example.com/bar

    #
    # Alias: Maps web paths into filesystem paths and is used to
    # access content that does not live under the DocumentRoot.
    # Example:
    # Alias /webpath /full/filesystem/path
    #


    #

    #
    ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"

</IfModule>

#
# "/var/www/cgi-bin" should be changed to whatever your ScriptAliased
# CGI directory exists, if you have that configured.
#
<Directory "/var/www/cgi-bin">
    AllowOverride None
    Options None
    Require all granted
</Directory>

<IfModule mime_module>
    #
    # TypesConfig points to the file containing the list of mappings from
    # filename extension to MIME-type.
    #
    TypesConfig /etc/mime.types

    #
    # AddType allows you to add to or override the MIME configuration
    # file specified in TypesConfig for specific file types.
    #
    #AddType application/x-gzip .tgz
    #

    #
    #AddEncoding x-compress .Z
    #AddEncoding x-gzip .gz .tgz
    #
    # If the AddEncoding directives above are commented-out, then you
    # probably should define those extensions to indicate media types:
    #
    AddType application/x-compress .Z
    AddType application/x-gzip .gz .tgz

    #

    #
    # To use CGI scripts outside of ScriptAliased directories:
    # (You will also need to add "ExecCGI" to the "Options" directive.)
    #
    #AddHandler cgi-script .cgi

    # For type maps (negotiated resources):
    #AddHandler type-map var

    #
    # Filters allow you to process content before it is sent to the client.
    #
    # To parse .shtml files for server-side includes (SSI):
    # (You will also need to add "Includes" to the "Options" directive.)
    #
    AddType text/html .shtml
    AddOutputFilter INCLUDES .shtml
</IfModule>

#

#
AddDefaultCharset UTF-8

<IfModule mime_magic_module>
    #
    # The mod_mime_magic module allows the server to use various hints from the
    # contents of the file itself to determine its type.  The MIMEMagicFile
    # directive tells the module where the hint definitions are located.
    #
    MIMEMagicFile conf/magic
</IfModule>

#
# Customizable error responses come in three flavors:
# 1) plain text 2) local redirects 3) external redirects
#
# Some examples:
#ErrorDocument 500 "The server made a boo boo."
#ErrorDocument 404 /missing.html
#ErrorDocument 404 "/cgi-bin/missing_handler.pl"
#ErrorDocument 402 http://www.example.com/subscription_info.html
#

#

# Defaults if commented: EnableMMAP On, EnableSendfile Off
#
#EnableMMAP off
EnableSendfile on

# Enable HTTP/2 by default
#
# https://httpd.apache.org/docs/2.4/mod/core.html#protocols


<IfModule mod_http2.c>
    Protocols h2 h2c http/1.1
</IfModule>


# Supplemental configuration
#
# Load config files in the "/etc/httpd/conf.d" directory, if any.
IncludeOptional conf.d/*.conf






```

ssl.confを設定した上でですが、どこか設定ミスありますでしょうか？

AWSのLAMP環境でphpMyAdminにログインできない

### 実現したいこと

buildspec.ymlにCode Buildの処理を書いているのですが、S3にフォルダ名を指定し、作成してアップロードしたいです。
Code Buildについては初めてなため、参考記事やコード例を頂けると幸いです。



### 該当のソースコード

```ここに言語名を入力
BuildSpec: |
  version: "0.2"
  phases:
    install:
      commands:
        - echo "Installing Node.js 18"
        - n 18
    pre_build:
      commands:
    build:
      commands:
    post_build:
      commands:
```


AWS Code Build にて、S3にフォルダを作成してアップロードしたいです。

S3の静的ファイルを、お名前.comで取得したドメインでCloudFrontで配信しようとしています。

以下の記事を参考にCloudFront側の設定(create distribution)まで終わりました。
[CloudFrontでお名前.comの独自ドメインおよびSSL証明書を使用する](https://zoo200.net/cloudfront-ssl-original-domain/)

お名前.com側のDNSの設定で、CloudFrontのCNAMEレコードを設定する際に、valueはCloudfrontのDistribution domain nameを設定したら良いのはわかるのですが、ホスト名のところは何の値を設定したら良いのでしょうか？

![イメージ説明](a4ac17bf5fbadc60625f8e2e8f717952.png)

CloudFrontでお名前.comの独自ドメインを設定する場合のDNS CNAMEのホスト名の設定について

### エラー内容
awsのElastic Beanstalk + CloudFront + S3環境で署名付きCookieを使いS3への接続を実装しているのですがlaravelのコントローラでプライベートキーの取得を試みると


```ここに言語を入力
error:0906D06C:PEM routines:PEM_read_bio:no start line
```
とのエラーが出てしまいプライベートキーが読み込めません

### ローカル開発環境
windows10
PHP 7.3.9

### Elastic Beanstalk環境
Laravel:6.20.36
PHP 7.4


コントローラーのプライベートキー取得部分

```ここに言語を入力
$signedCookieCustomPolicy = $cloudFront->getSignedCookie([
   'policy' => $customPolicy,
   'private_key' => realpath(config('app.private_key_path')),
   'key_pair_id' => 'Kxxxxx'
]);
```

下記のサイト様を参考に.ebextentions/privatekey.configファイルでS3に置いているプライベートキーをダウンロードして読み込ませています
プライベートキーのパスはElastic Beanstalkの環境変数に記載しました
https://zenn.dev/yutaroshimamura/articles/83c211b06905ef

キーペアの取得は下記のサイト様を参考にブラウザでrootでログインし取得しました
https://confrage.jp/aws-アカウントidでcloudfrontのキーペアを取得する方法/


### 検証
- aws管理画面からダウンロードしたキーファイルは開いたり編集したりせずそのまま使用しています
- ローカルの開発環境で確認するとエラーが出ずpemファイルが読み込めます(ローカル環境ではlaravelのpublicにpemファイルを置き確認しました)
- eb sshでディレクトリを確認したところ、所定の場所(/etc/pki/tls/certs/)にS3からpemがダウンロード出来ている事を確認しました
- viエディタでpemの中身を見たのですが不自然な改行等は見られませんでした

Amazon CloudFront