AWS WAF の新しいコンソールエクスペリエンスのご紹介
更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「更新されたコンソールエクスペリエンスを使用する」を参照してください。
AWS WAF Classic と Amazon CloudFront の機能との連携
警告
AWS WAF Classic は計画されたサービス終了プロセスを進めています。リージョン固有のマイルストーンと日付については、AWS Health ダッシュボードを参照してください。
注記
これは AWS WAF Classic ドキュメントです。2019 年 11 月より前に AWS WAF でルールやウェブ ACL などの AWS WAF リソースを作成し、それらをまだ最新バージョンに移行していない場合にのみ、このバージョンを使用する必要があります。Web ACL を移行するには、AWS WAF Classic リソースを AWS WAF に移行する を参照してください。
最新バージョンの AWS WAF については、「AWS WAF」を参照してください。
ウェブ ACL を作成するときに、AWS WAF Classic で検査する 1 つ以上の CloudFront ディストリビューションを指定できます。AWS WAFClassic は、ウェブ ACL で指定した条件に基づいて、それらのディストリビューションに対するウェブリクエストを許可、ブロック、またはカウントし始めます。CloudFront には、AWS WAF Classic の機能を強化するいくつかの機能が用意されています。この章では、CloudFront と AWS WAF Classic がより効果的に連携するように CloudFront を設定できるいくつかの方法について説明します。
トピック
CloudFront カスタムエラーページでの AWS WAF Classic の使用
AWS WAF Classic は、指定した条件に基づいてウェブリクエストをブロックすると、CloudFront に HTTP ステータスコード 403 (Forbidden) (禁止) を返します。次に、CloudFront はそのステータスコードをビューワーに返します。ビューワーには、以下のような簡潔で特に書式設定されていないデフォルトメッセージが表示されます。
Forbidden: You don't have permission to access /myfilename.html on this server.
デフォルトメッセージはなく、お客様のウェブサイトの他のページと同じ書式設定のカスタムエラーメッセージを表示することを希望する場合は、カスタムエラーメッセージを含むオブジェクト (HTML ファイルなど) をビューワーに返すように CloudFront を設定できます。
注記
CloudFront は、オリジンによって返された HTTP ステータスコード 403 と、リクエストがブロックされたときに AWS WAF Classic によって返された HTTP ステータスコード 403 とを区別できません。つまり、HTTP ステータスコード 403 のさまざまな原因に基づいて、異なるカスタムエラーページを返すことはできません。
CloudFront カスタムエラーページの詳細については、「Amazon CloudFront デベロッパーガイド」の「エラーレスポンスのカスタマイズ」を参照してください。
独自の HTTP サーバーで実行されているアプリケーションへの CloudFront での AWS WAF Classic の使用
AWS WAF Classic と CloudFront を使用すると、Amazon Elastic Compute Cloud (Amazon EC2) で実行されている Web サーバーであるか、個人的に管理している Web サーバーかにかかわらず、任意の HTTP Web サーバーで実行されているアプリケーションを保護できます。CloudFront と独自のウェブサーバー間、およびビューワーと CloudFront の間で HTTPS が必須になるように CloudFront を設定することもできます。
CloudFront と独自のウェブサーバー間での HTTPS の必須化
CloudFront と独自のウェブサーバー間で HTTPS を必須にするには、CloudFront カスタムオリジン機能を使用し、特定のオリジンの [Origin Protocol Policy] (オリジンプロトコルポリシー) および [Origin Domain Name] (オリジンドメイン名) の設定を構成します。CloudFront 設定では、オリジンからオブジェクトをフェッチするとき CloudFront で使用するポートとプロトコルとともに、サーバーの DNS 名を指定できます。また、カスタムオリジンサーバー上の SSL/TLS 証明書が、設定したオリジンドメイン名と一致することを確認する必要もあります。AWS の外部にある独自の HTTP ウェブサーバーを使用している場合、信頼されたサードパーティー認証機関 (CA) (Comodo、DigiCert、Symantec など) によって署名された証明書を使用する必要があります。CloudFront と独自のウェブサーバー間の通信に HTTPS を要求する方法の詳細については、「Amazon CloudFront デベロッパーガイド」の「CloudFront とカスタムオリジン間の通信で HTTPS を必須にする」のトピックを参照してください。
ビューワーと CloudFront との間での HTTPS の必須化
ビューワーと CloudFront の間に HTTPS を要求するために、CloudFront ディストリビューションの 1 つ以上のキャッシュ動作のビューワープロトコルポリシーを変更できます。ビューワーと CloudFront 間での HTTPS の使用の詳細については、「Amazon CloudFront デベロッパーガイド」の「ビューワーと CloudFront 間の通信で HTTPS を必須にする」のトピックを参照してください。独自の SSL 証明書を使用して、ビューワーが独自のドメイン名を使用して HTTPS 経由で CloudFront ディストリビューションに接続できるようにすることもできます (例: https://www.mysite.com)。詳細については、「Amazon CloudFront デベロッパーガイド」の「代替ドメイン名とHTTPS を使用する」のトピックを参照してください。
CloudFront が応答する HTTP メソッドの選択
Amazon CloudFront のウェブディストリビューションを作成するときは、CloudFront によって処理されてオリジンに転送される HTTP メソッドを選択します。次のオプションから選択できます。
[GET, HEAD] - CloudFront を使用して、オリジンからのオブジェクトの取得またはオブジェクトヘッダーの取得のみを行うことができます。
[GET, HEAD, OPTIONS] - CloudFront を使用して、オリジンからのオブジェクトの取得、オブジェクトヘッダーの取得、またはオリジンサーバーがサポートするオプションのリスト取得のみを行うことができます。
[GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE] - CloudFront を使用して、オブジェクトの取得、追加、更新、削除、およびオブジェクトヘッダーの取得を行うことができます。また、ウェブフォームからのデータの送信など、その他の POST 操作も実行できます。
また、AWS WAF Classic 文字列一致条件を使用して、HTTP メソッドに基づいてリクエストを許可またはブロックすることもできます (「文字列一致条件の使用」を参照)。CloudFront がサポートするメソッドの組み合わせ (GET や HEAD など) を使用する場合は、他のメソッドを使用するリクエストをブロックするように AWS WAF Classic を設定する必要はありません。CloudFront がサポートしないメソッドの組み合わせ (GET、HEAD、POST など) を使用する場合は、すべてのメソッドに応答するように CloudFront を設定してから、AWS WAF Classic により他のメソッドを使用するリクエストをブロックできます。
が応答するメソッドの選択の詳細については、「Amazon CloudFront デベロッパーガイド」で「ウェブディストリビューションを作成または更新する場合に指定する値」トピックの「許可される HTTP メソッド」を参照してください。
