Amazon CloudFront

解決する課題

• 遠いユーザーにも速く届けたい
• オリジン（S3/サーバー）の負荷とコストを下げたい
• 世界配信でもHTTPSとセキュリティを担保したい

主要概念と用語

• ディストリビューション: CDN配信の設定単位
• オリジン: 配信元（S3 / ALB / 任意のHTTPサーバー）
• エッジロケーション: キャッシュを持つ世界中の拠点
• キャッシュビヘイビア / TTL: パスごとのキャッシュ方針と保持時間
• OAC: S3を非公開のままCloudFrontだけに読ませる仕組み
• 署名付きURL/Cookie: 限定配信
• CloudFront Functions / Lambda@Edge: エッジでの軽量/高度な処理

仕様・制限・クォータ

• HTTPS（ACM証明書、us-east-1のものを使用）
• HTTP/2・HTTP/3対応、Gzip/Brotli圧縮
• 無効化（Invalidation）は月1,000パスまで無料

内部の仕組み

ユーザーは最寄りのエッジへアクセス。エッジにキャッシュがあれば即返し（キャッシュヒット）、なければオリジンへ取りに行き（オリジンフェッチ）、以後キャッシュします。キャッシュの単位はキャッシュキー（URL/ヘッダ/クエリ等）で決まり、TTLの間は再利用されます。

設計パターン / ベストプラクティス

• S3 + OAC で静的サイト/メディアを安全配信
• 動的はキャッシュ最小、静的はTTL長めにパスごとに最適化
• WAF を前段に付けて防御
• 限定配信は署名付きURL/Cookie

運用・監視・トラブルシュート

• メトリクス: ヒット率・4xx/5xx・オリジンレイテンシ
• ヒット率が低い→キャッシュキーやTTLを見直し
• アクセスログ（標準ログ/リアルタイムログ）で分析

コスト

• データ転送（配信GB）＋リクエスト数。無料枠が大きい（月1TB級）
• オリジンへの転送を減らせる＝オリジン側コストも下がる

セキュリティ

• HTTPS強制（Viewer Protocol Policy）
• OACでS3バケットは非公開のまま
• WAF / Shield でDDoS・L7攻撃を緩和

Well-Architected の観点

• パフォーマンス効率: エッジキャッシュで低遅延
• セキュリティ: HTTPS・OAC・WAF
• コスト最適化: オリジン負荷/転送の削減

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# デプロイ後、最新を即反映（キャッシュ無効化）
aws cloudfront create-invalidation \
  --distribution-id E123ABC456DEF7 \
  --paths "/*"

# ディストリビューションの状態確認
aws cloudfront get-distribution --id E123ABC456DEF7 \
  --query "Distribution.Status"