サポート終了通知: 2025 年 11 月 13 日、 AWS は AWS Elemental MediaStore のサポートを終了します。2025 年 11 月 13 日以降、MediaStore コンソールまたは MediaStore リソースにアクセスできなくなります。詳細については、こちらの[ブログ記事](https://aws.amazon.com/blogs/media/support-for-aws-elemental-mediastore-ending-soon/)をご覧ください。
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Amazon CloudFront に AWS Elemental MediaStore コンテナへのアクセスを許可する
Amazon CloudFront を使用して、AWS Elemental MediaStore に保存したコンテンツを配信することができます。これには次のいずれかの方法があります。
+ [オリジンアクセスコントロール (OAC) の使用](#cdns-allowing-cloudfront-to-access-mediastore-using-oac) - (推奨) このオプションは、 が CloudFront の OAC 機能 AWS リージョン をサポートしている場合に使用します。
+ [共有シークレットの使用](#cdns-allowing-cloudfront-to-access-mediastore-using-shared-secrets) - このオプションは、 AWS リージョン が CloudFront の OAC 機能をサポートしていない場合に使用します。
## オリジンアクセスコントロール (OAC) の使用
Amazon CloudFront のオリジンアクセスコントロール (OAC) 機能を使用すると、強化されたセキュリティで AWS Elemental MediaStore オリジンを保護できます。MediaStore オリジンの CloudFront の[AWS Signature Version 4 (SigV4) ](https://docs.aws.amazon.com/AmazonS3/latest/API/sig-v4-authenticating-requests) を有効にし、CloudFront がリクエストに署名するタイミングおよび署名するかどうかを設定できます。CloudFront の OAC 機能には、コンソール、API、SDK、 CLI からアクセスでき、追加使用料金はかかりません。
MediaStore で OAC 機能を使用する方法の詳細については、[ Amazon CloudFront 開発者ガイド](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/private-content-restricting-access-to-mediastore)の「[MediaStore オリジンへのアクセスの制限](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/)」を参照してください。
## 共有シークレットの使用
AWS リージョン が Amazon CloudFront の OAC 機能をサポートしていない場合は、CloudFront に読み取りアクセス以上のアクセスを許可するポリシーを AWS Elemental MediaStore コンテナにアタッチできます。
**注記**
が AWS リージョン サポートしている場合は、OAC 機能を使用することをお勧めします。以下の手順では、MediaStore コンテナへのアクセスを制限するために、共有シークレットを使用して MediaStore と CloudFront を設定する必要があります。セキュリティのベストプラクティスに従い、この手動設定ではシークレットを定期的にローテーションする必要があります。MediaStore オリジンで OAC を使用すると、SigV4 を使用してリクエストに署名し、MediaStore に転送して署名を照合するように CloudFront に指示できます。これにより、シークレットの使用やローテーションの必要がなくなります。これにより、メディアコンテンツが提供される前にリクエストが自動的に検証され、MediaStore と CloudFront を介したメディアコンテンツの配信がより簡単かつ安全になります。
**コンテナへのアクセスを CloudFront に許可するには (コンソール)**
1. [https://console.aws.amazon.com/mediastore/](https://console.aws.amazon.com/mediastore/) で MediaStore コンソールを開きます。
1. [**Containers (コンテナ)**] ページで、コンテナの名前を選択します。
コンテナの詳細ページが表示されます。
1. **[Container policy]** (コンテナポリシー) セクションで、Amazon CloudFront に読み取りアクセス権限以上を付与するポリシーをアタッチします。
**Example**
次のポリシーの例は [HTTPS 経由のパブリック読み取りアクセス](policies-examples-public-https.md)のポリシーの例に似ていますが、この例がこれらの要件に一致するのは、このポリシーが HTTPS を介してドメインにリクエストを送信するすべての送信元からの `GetObject` コマンドと `DescribeObject` コマンドを許可するためです。さらに以下のサンプルポリシーでは、リクエストが HTTPS 接続を介して発生し、かつ正しい Referer ヘッダーが含まれている場合にのみ CloudFront が MediaStore オブジェクトにアクセスできるようになるため、ワークフローの安全性が高まります。
1. [**Container CORS policy (コンテナの CORS ポリシー)**] セクションで、適切なアクセスレベルを許可するポリシーを割り当てます。
**注記**
[CORS ポリシー](cors-policy.md)は、ブラウザベースのプレーヤーにアクセスを許可する場合にのみ必要です。
1. 以下の詳細を書き留めます。
+ コンテナに割り当てられたデータエンドポイント。この情報は **[コンテナ]** ページの **[情報]** セクションにあります。CloudFront では、データエンドポイントはオリジンドメイン名と呼ばれます。**
+ オブジェクトが保存されているコンテナのフォルダ構造。CloudFront では、これはオリジンパスと呼ばれます。**ただし、この設定は省略可能です。オリジンパス詳細については、[Amazon CloudFront デベロッパーガイド](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/distribution-web-values-specify.html#DownloadDistValuesOriginPath)を参照してください。
1. CloudFront でディストリビューションを作成し、[AWS Elemental MediaStore のコンテンツを配信するように設定](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/live-streaming.html#video-streaming-mediastore)します。前のステップで収集した情報が必要です。
ポリシーを MediaStore コンテナにアタッチした後、オリジンリクエストに HTTPS 接続のみを使用するように CloudFront を設定し、正しいシークレット値を含むカスタムヘッダーを追加する必要があります。
**Referer ヘッダー（コンソール）にシークレット値を指定した HTTPS 接続経由でコンテナにアクセスするように CloudFront を設定するには**
1. CloudFront コンソールを で開きます。
1. [**オリジン**] ページで、MediaStore オリジンを選択します。
1. **[編集]** を選択します。
1. API プロトコルに [**HTTPのみ**] を選択します。
1. [**カスタムヘッダーの追加**] セクションで、[**ヘッダーを追加**] を選択します。
1. [**名前**] には [**Referer**] を選択します。[**値**] には、{{}}コンテナポリシーで使用したものと同じ文字列を使用します。
1. [**保存**] を選択し、変更をデプロイします。