Cloud CDN

解決する課題

物理的に遠いユーザーへも、オリジンに毎回アクセスさせずに高速配信できます。

• 遠いユーザーにも 低遅延でコンテンツを届けたい
• オリジン（Cloud Storage / GCE / GKE バックエンド）の 負荷と下り（egress）コストを下げたい
• 急なトラフィック増（スパイク）を エッジで吸収し、バックエンドを守りたい
• Google のグローバルネットワーク（プライベートバックボーン）で 安定した配信を行いたい

主要概念と用語

• 外部 Application Load Balancer（外部 ALB）: Cloud CDN を有効化する前提となるグローバル L7 ロードバランサ。CloudFront の「ディストリビューション」に近い設定の入れ物
• バックエンドサービス / バックエンドバケット: オリジンの定義。backend-services（GCE インスタンスグループ・NEG・ハイブリッド）と backend-buckets（Cloud Storage バケット）があり、それぞれに --enable-cdn を付けてキャッシュを有効化
• エッジ（PoP / Point of Presence）: Google が世界中に持つキャッシュ拠点。さらに内側に エッジキャッシュ階層（tiered／2 段キャッシュ） を持つ
• キャッシュモード: CACHE_ALL_STATIC（静的のみ自動キャッシュ＝既定）/ USE_ORIGIN_HEADERS（オリジンの Cache-Control に従う）/ FORCE_CACHE_ALL（応答コードに関わらず強制キャッシュ）
• キャッシュキー: キャッシュの一意性を決める要素。プロトコル・ホスト・クエリ文字列・指定ヘッダ・Cookie の含有可否を cache-key-policy で制御
• TTL（default/max/client TTL）: キャッシュ保持時間。オリジンヘッダを上書き／クランプできる
• キャッシュ無効化（Cache Invalidation）: パスやホストを指定して即時にキャッシュを破棄する操作
• 署名付き URL / 署名付き Cookie: バックエンド単位の鍵で限定配信（CloudFront の署名付き URL/Cookie 相当）
• キャッシュフィル: エッジがオリジンから取得してキャッシュを埋める通信。Cache Fill 料金の対象

仕様・制限・クォータ

• 有効化には外部 ALB が必須。Cloud CDN 単体では使えず、必ずロードバランサのバックエンドに紐づける
• HTTP/2・HTTP/3（QUIC）対応、Gzip / Brotli の動的圧縮に対応
• TLS 証明書は Google マネージド証明書またはセルフマネージド証明書を ALB 側に設定（CloudFront のように特定リージョン固定の制約はない）
• キャッシュ可能なオブジェクトの最大サイズは既定で数 GB 規模（レンジリクエスト対応）。Cache-Control: private/no-store/Set-Cookie 付き応答は原則キャッシュ対象外
• キャッシュ無効化はパスパターン単位。1 回の無効化は最終的に全エッジへ伝播するまで数分かかる。プロジェクトあたりの無効化レートにはクォータがある
• ステータスコードのうち 200/203/204/206/300/301/308/404/405/410/421/451/501 などが既定でキャッシュ可能

内部の仕組み

ユーザーのリクエストは、Google の Anycast IP によって最寄りのエッジ PoP に吸い込まれます。エッジにキャッシュがあれば即返し（キャッシュヒット）、無ければ上位のキャッシュ階層、最終的にオリジン（バックエンド）へ取りに行き（キャッシュフィル / オリジンフェッチ）、以後キャッシュします。キャッシュの単位は キャッシュキー（プロトコル・ホスト・パス・クエリ・ヘッダ等）で決まり、TTL の間は再利用されます。

• エッジ間は 2 段キャッシュ（tiered caching） になっており、末端 PoP がミスしても上位キャッシュでヒットすればオリジンまで到達しない。これによりオリジンの負荷とコールドキャッシュ時の遅延を抑える
• レンジリクエストやキャッシュフィルは Google のプライベートバックボーン経由で行われ、パブリックインターネットの不安定さを避ける

設計パターン / ベストプラクティス

• バックエンドバケット（Cloud Storage）+ Cloud CDN で静的サイト／メディアを安全・安価に配信
• 静的アセットは Cache-Control: public, max-age=... をオリジンで明示し、USE_ORIGIN_HEADERS モードで意図どおりに制御。動的 API はキャッシュしない（パス／ホストルールで分離）
• ハッシュ付きファイル名（app.[hash].js）＋長い max-age で cache busting。無効化に頼らない
• Cloud Armor（WAF）を同じ外部 ALB に適用し、エッジ前段で L7 攻撃・地域制限・レート制限を防御
• 限定配信は 署名付き URL / 署名付き Cookie（バックエンド単位の鍵）
• クエリ文字列を含めるかをキャッシュキーで厳選し、不要なパラメータでキャッシュが分裂（ヒット率低下）しないようにする

運用・監視

• Cloud Monitoring / Cloud Logging で監視。ロードバランサのログに cacheHit（ヒット/ミス）・cacheLookup などの CDN フィールドが記録される
• 主要指標: キャッシュヒット率、エッジ応答レイテンシ、オリジンフェッチ回数、4xx/5xx、Cache Fill のバイト数
• ヒット率が低いときは、キャッシュキー（不要なクエリ／ヘッダの混入）、TTL の短さ、Cache-Control/Set-Cookie でキャッシュ不可になっていないかを点検
• 無効化の実行履歴・状態は gcloud compute url-maps describe や Cloud Logging の監査ログで追跡

コスト

Cloud CDN の料金は大きく キャッシュ egress（エッジ→ユーザー）・キャッシュフィル（オリジン→エッジ）・キャッシュ無効化／HTTP・HTTPS リクエストに分かれます。CloudFront と異なり恒常的な「無料 1TB」枠はなく、地域別の従量課金が基本です。

オリジンが Cloud Storage / GCE の場合、CDN でヒットすればその分 オリジン側の egress コストも下がる点が効きます。

セキュリティ

• HTTPS 強制: 外部 ALB に HTTP→HTTPS リダイレクトを設定し、TLS は Google マネージド証明書で運用
• 署名付き URL / 署名付き Cookie で限定配信。鍵はバックエンド（サービス/バケット）単位で管理し、有効期限を短く保つ
• Cloud Armor を同じ ALB に適用して DDoS（L3/L4 は Google のインフラ側で吸収）・L7 攻撃・地域/IP 制限・レート制限を実施
• Cloud Storage バックエンドは 公開せず、署名付き URL もしくは IAM で必要範囲のみに限定する

関連サービス・比較（AWS との対応）

Cloud CDN は機能的には Amazon CloudFront に対応しますが、「独立サービスか／ロードバランサの一機能か」という設計思想が大きく異なります。

ハンズオン / CLI例

# 1) 静的サイト用に Cloud Storage バケットを CDN 有効のバックエンドバケットとして登録
gcloud compute backend-buckets create static-backend \
  --gcs-bucket-name=my-static-assets-bucket \
  --enable-cdn \
  --cache-mode=CACHE_ALL_STATIC \
  --default-ttl=3600 \
  --max-ttl=86400

# 2) 既存のバックエンドサービス（GCE/GKE オリジン）で Cloud CDN を後から有効化
gcloud compute backend-services update web-backend \
  --global \
  --enable-cdn \
  --cache-mode=USE_ORIGIN_HEADERS

# 3) キャッシュキーからクエリ文字列を除外してヒット率を上げる
gcloud compute backend-services update web-backend \
  --global \
  --no-cache-key-include-query-string

# 4) デプロイ後、最新を即反映（キャッシュ無効化）。url-map 名を指定
gcloud compute url-maps invalidate-cdn-cache my-url-map \
  --path "/*"

# 5) バックエンドの CDN 設定を確認
gcloud compute backend-services describe web-backend \
  --global \
  --format="yaml(cdnPolicy, enableCDN)"