はじめに

こんにちは、クラウドエンジニアリング部の本橋です。
アーキテクチャの構成を学ぶことが多いのですが、ふと実際に環境を構築したくなりました。
せっかくなので汎用的に使えそうな構成（根拠はまったくない）を作りつつ細かいところの理解をできたらと思っています。

第2回
汎用的に使えそうなAWS構成 - 第2回 Route53/ACM 設定 - APC 技術ブログ

最終的なゴール

いきなりですが、以下の構成を目指して作ることを考えています。（細かいところはほとんど考えておらず、最終的にどうなるかは詰められてません）

詳細を全く考えていないので、上記構成をさらに拡張したり、逆に縮小することがあるかと思いますが、ご承知おきください。構成に変更があれば最後まで環境構築を完成させた後にこのページの全体像を修正する予定です。

今回やること

冒頭で示した図の内容をすべて実装するととても大変なので何回かに分けて実装します。今回実装する範囲は以下になります。

terraformコード

今回最終的に動いたS3とCloud Frontについては以下gitで公開しています。必要に応じて参照ください。

https://github.com/hsmto25519/aws_terraform/tree/main

CloudFrontを学習する

S3構築

S3については何度も利用したことがあるサービスなので、terraformで構築してしまいます。

resource "aws_s3_bucket" "s3_images" {
  bucket        = "s3-sample5-images1"
  force_destroy = true
  tags          = var.tags
}

resource "aws_s3_bucket_public_access_block" "public_access_block" {
  bucket                  = aws_s3_bucket.s3_images.id
  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

resource "aws_s3_bucket_server_side_encryption_configuration" "server_side_encryption_configuration" {
  bucket = aws_s3_bucket.s3_images.id

  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "AES256"
    }
  }
}

resource "aws_s3_bucket_website_configuration" "static_hosting" {
  bucket = aws_s3_bucket.s3_images.id

  index_document {
    suffix = "index.html"
  }

  error_document {
    key = "error.html"
  }
}

resource "aws_s3_object" "index" {
  key          = "index.html"
  bucket       = aws_s3_bucket.s3_images.id
  source       = "../files/index.html"
  content_type = "text/html"
}

data "aws_iam_policy_document" "s3_policy" {
  statement {
    actions   = ["s3:GetObject"]
    resources = ["${aws_s3_bucket.s3_images.arn}/*"]

    principals {
      type        = "AWS"
      identifiers = [aws_cloudfront_origin_access_identity.oai.iam_arn]
    }
  }
}

resource "aws_s3_bucket_policy" "policy" {
  bucket = aws_s3_bucket.s3_images.id
  policy = data.aws_iam_policy_document.s3_policy.json
}

必要なところだけ補足します。 ①apply_server_side_encryption_by_default.sse_algorithm = "AES256" 今回Cloud Front側でOAIを利用するのですが、OAIを利用する場合、AES-256を指定する必要があります。私は検証時、AWS KMSを指定していて長い間詰まりましたのでお気を付けください。

CloudFront ディストリビューションは、オリジンアクセスアイデンティティ (OAI) を使用する場合、AWS Key Management Service (AWS KMS) で暗号化されたオブジェクトをサポートしません。ディストリビューションを使用して提供する S3 オブジェクトからは、AWS KMS による暗号化を削除する必要があります。AWS KMS での暗号化を使用する代わりに、AES-256 を使用してオブジェクトを暗号化します。 repost.aws

ちなみに、KMSが原因で引っかかった場合比較的わかりやすい文言が表示されます（私は原因に気が付くのに時間がかかりましたが。。）。