관리형 응답 헤더 정책 사용 - Amazon CloudFront
CORS-and-SecurityHeadersPolicyCORS-With-PreflightCORS-with-preflight-and-SecurityHeadersPolicySecurityHeadersPolicySimpleCORS

관리형 응답 헤더 정책 사용

CloudFront 응답 헤더 정책을 사용하면 Amazon CloudFront가 사용자에게 보내는 응답에서 제거하거나 추가하는 HTTP 헤더를 지정할 수 있습니다. 응답 헤더 정책 및 사용 이유에 대한 자세한 내용은 정책을 통해 CloudFront 응답에서 HTTP 헤더 추가 또는 제거 단원을 참조하세요.

CloudFront는 CloudFront 배포의 캐시 동작에 연결할 수 있는 관리형 응답 헤더 정책을 제공합니다. 관리형 응답 헤더 정책을 사용하면 자체 정책을 작성하거나 유지 관리할 필요가 없습니다. 관리형 정책은 일반 사용 사례에 대한 HTTP 응답 헤더 집합을 포함합니다.

관리 응답 헤더 정책을 사용하려면 배포의 캐시 동작에 연결합니다. 이 프로세스는 사용자 지정 응답 헤더 정책을 생성할 때와 동일합니다. 그러나 새 정책을 만드는 대신 관리형 정책 중 하나를 연결합니다. 이름(콘솔 사용) 또는 ID(AWS CloudFormation, AWS CLI 또는 AWS SDK 사용)로 정책을 연결합니다. 이름과 ID는 다음 섹션에 나열되어 있습니다.

자세한 내용은 응답 헤더 정책 생성 단원을 참조하십시오.

다음 항목에서는 사용할 수 있는 관리형 응답 헤더 정책에 대해 설명합니다.

CORS-and-SecurityHeadersPolicy

CloudFront 콘솔에서 이 정책 보기

이 관리형 정책을 사용하여 모든 원본의 간단한 CORS 요청을 허용합니다. 또한 이 정책은 CloudFront가 뷰어에게 보내는 모든 응답에 보안 헤더 집합을 추가합니다. 이 정책은 SimpleCORS과 SecurityHeadersPolicy 정책을 하나로 묶습니다.

AWS CloudFormation, AWS CLI 또는 CloudFront API를 사용할 때 이 정책의 ID는 다음과 같습니다.

e61eb60c-9c35-4d20-a928-2b84e02af89c

정책 설정
헤더 이름 헤더 값 원본을 재정의할까요?
CORS 헤더: Access-Control-Allow-Origin * 아니요
보안 헤더: Referrer-Policy strict-origin-when-cross-origin 아니요
Strict-Transport-Security max-age=31536000 아니요
X-Content-Type-Options nosniff 예
X-Frame-Options SAMEORIGIN 아니요
X-XSS-Protection 1; mode=block 아니요

CORS-With-Preflight

CloudFront 콘솔에서 이 정책 보기

이 관리형 정책을 사용하여 사전 요청을 포함하여 모든 원본의 CORS 요청을 허용합니다. 사전 요청(HTTP OPTIONS 메서드 사용)의 경우 CloudFront는 다음 세 가지 헤더를 모두 응답에 추가합니다. 긴단한 CORS 요청의 경우 CloudFront는 Access-Control-Allow-Origin 헤더만 추가합니다.

CloudFront가 원본에서 수신하는 응답에 이러한 헤더가 포함된 경우 CloudFront는 뷰어에 대한 응답에서 수신된 헤더(및 해당 값)를 사용합니다. 이 경우 CloudFront는 이 정책의 헤더를 사용하지 않습니다.

AWS CloudFormation, AWS CLI 또는 CloudFront API를 사용할 때 이 정책의 ID는 다음과 같습니다.

5cc3b908-e619-4b99-88e5-2cf7f45965bd

정책 설정
헤더 이름 헤더 값 원본을 재정의할까요?
CORS 헤더: Access-Control-Allow-Methods DELETE, GET, HEAD, OPTIONS, PATCH, POST, PUT 아니요
Access-Control-Allow-Origin *
Access-Control-Expose-Headers *

CORS-with-preflight-and-SecurityHeadersPolicy

CloudFront 콘솔에서 이 정책 보기

이 관리형 정책을 사용하여 모든 원본의 CORS 요청을 허용합니다. 여기에는 사전 요청이 포함됩니다. 또한 이 정책은 CloudFront가 뷰어에게 보내는 모든 응답에 보안 헤더 집합을 추가합니다. 이 정책은 CORS-With-Preflight과 SecurityHeadersPolicy 정책을 하나로 묶습니다.

AWS CloudFormation, AWS CLI 또는 CloudFront API를 사용할 때 이 정책의 ID는 다음과 같습니다.

eaab4381-ed33-4a86-88ca-d9558dc6cd63

정책 설정
헤더 이름 헤더 값 원본을 재정의할까요?
CORS 헤더: Access-Control-Allow-Methods DELETE, GET, HEAD, OPTIONS, PATCH, POST, PUT 아니요
Access-Control-Allow-Origin *
Access-Control-Expose-Headers *
보안 헤더: Referrer-Policy strict-origin-when-cross-origin 아니요
Strict-Transport-Security max-age=31536000 아니요
X-Content-Type-Options nosniff 예
X-Frame-Options SAMEORIGIN 아니요
X-XSS-Protection 1; mode=block 아니요

SecurityHeadersPolicy

CloudFront 콘솔에서 이 정책 보기

이 관리형 정책을 사용하여 CloudFront가 뷰어에게 보내는 모든 응답에 보안 헤더 집합을 추가할 수 있습니다. 이러한 보안 헤더에 대한 자세한 내용은 Mozilla의 웹 보안 가이드라인을 참조하십시오.

이 응답 헤더 정책에서 CloudFront는 모든 응답에 X-Content-Type-Options: nosniff를 추가합니다. CloudFront가 원본에서 받은 응답에 이 헤더가 포함되어 있는지 여부와 상관 없습니다. 이 정책의 다른 모든 헤더에 대해 CloudFront가 원본에서 수신하는 응답에 해당 헤더가 포함된 경우 CloudFront는 뷰어에 대한 응답에서 수신된 헤더(및 해당 값)를 사용합니다. 이 경우 CloudFront는 이 정책의 헤더를 사용하지 않습니다.

AWS CloudFormation, AWS CLI 또는 CloudFront API를 사용할 때 이 정책의 ID는 다음과 같습니다.

67f7725c-6f97-4210-82d7-5512b31e9d03

정책 설정
헤더 이름 헤더 값 원본을 재정의할까요?
보안 헤더: Referrer-Policy strict-origin-when-cross-origin 아니요
Strict-Transport-Security max-age=31536000 아니요
X-Content-Type-Options nosniff 예
X-Frame-Options SAMEORIGIN 아니요
X-XSS-Protection 1; mode=block 아니요

SimpleCORS

CloudFront 콘솔에서 이 정책 보기

이 관리형 정책을 사용하여 모든 원본의 간단한 CORS 요청을 허용합니다. 이 정책을 사용하면 CloudFront에서 단순 CORS 요청에 대한 모든 응답에 헤더 Access-Control-Allow-Origin: *를 추가합니다.

CloudFront가 원본에서 수신하는 응답에 Access-Control-Allow-Origin 헤더가 포함된 경우 CloudFront는 뷰어에 대한 응답에서 해당 헤더(및 해당 값)를 사용합니다. 이 경우 CloudFront는 이 정책의 헤더를 사용하지 않습니다.

AWS CloudFormation, AWS CLI 또는 CloudFront API를 사용할 때 이 정책의 ID는 다음과 같습니다.

60669652-455b-4ae9-85a4-c4c02393f86c

정책 설정
헤더 이름 헤더 값 원본을 재정의할까요?
CORS 헤더: Access-Control-Allow-Origin * 아니요