CloudFront からの Application Load Balancers に必要な設定 - AWS WAF、AWS Firewall Manager、AWS Shield Advanced、および AWS Shield ネットワークセキュリティディレクター

AWS WAF の新しいコンソールエクスペリエンスのご紹介

更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「更新されたコンソールエクスペリエンスを使用する」を参照してください。

CloudFront からの Application Load Balancers に必要な設定

保護パック (ウェブ ACL) を Application Load Balancer に関連付けし、その Application Load Balancer を CloudFront ディストリビューションのオリジンとしてデプロイする場合、このセクションをお読みください。

このアーキテクチャでは、トークン情報が正しく処理されるには、次の追加設定を行う必要があります。

  • aws-waf-token クッキーを Application Load Balancer に転送するように CloudFront を設定します。デフォルトでは、CloudFront はウェブリクエストをオリジンに転送する前にクッキーを削除します。トークンクッキーをウェブリクエストに含めるには、トークンキッキーのみまたはすべてのクッキーを含むように CloudFront キャッシュ動作を設定します。これを行う方法の情報については、「Amazon CloudFront デベロッパーガイド」の「クッキーに基づくコンテンツのキャッシュ」を参照してください。

  • CloudFront ディストリビューションのドメインを有効なトークンドメインとして認識するように AWS WAF を設定します。デフォルトでは、CloudFront は Host ヘッダーを Application Load Balancer オリジンに設定し、AWS WAF はそれを保護されたリソースのドメインとして使用します。ただし、クライアントブラウザは CloudFront ディストリビューションをホストドメインとして見なし、クライアント用に生成されたトークンは CloudFront ドメインをトークンドメインとして使用します。追加の設定を行わないと、AWS WAF が保護されたリソースドメインをトークンドメインと照合する際に不一致が発生します。これを修正するには、CloudFront ディストリビューションのドメイン名を保護パック (ウェブ ACL) 設定のトークンドメインリストに追加します。これを行う方法については、「AWS WAF 保護パック (ウェブ ACL) トークンドメインリストの設定」を参照してください。