AWS CloudFront

概要

AutoSSL は、SSL 証明書を Amazon CloudFront ディストリビューションへ直接デプロイできます。証明書を ACM（us-east-1）へインポートし、ディストリビューションの設定を更新するまでの流れを扱います。

このデプロイの管理と実行は、デプロイ管理 を参照してください。

設定パラメーター

AutoSSL コンソールでこのデプロイ先を追加または編集するときは、次のパラメーターを設定します。

仕組み

AutoSSL が証明書を AWS CloudFront ディストリビューション（例: EWH7HR80TDW90）へデプロイするとき、次の処理を行います。

1. ディストリビューションの検証:
   • AWS API（GetDistributionConfigCommand）で、対象 CloudFront ディストリビューション（EWH7HR80TDW90）の現在の設定を取得します。
   • ディストリビューションに紐づく代替ドメイン名（CNAME）を確認し、指定した証明書がすべてをカバーしているかを検証します。カバーされていないドメインがあると、ダウンタイムを防ぐためデプロイをスキップします。
2. ACM へのインポート:
   • CloudFront は証明書が us-east-1 にあることを要求するため、AWS ACM の us-east-1 へ ImportCertificateCommand でインポートします。
   • 複数のディストリビューションへデプロイする場合、ACM へのインポートは 1 回だけ行い、得られた ARN を再利用します。
3. 設定の更新:
   • AWS API（UpdateDistributionCommand）で CloudFront ディストリビューション（EWH7HR80TDW90）を更新します。
   • インポートした ACM の証明書 ARN をディストリビューションに関連付け、SSL サポートを sni-only に設定します。

アクセスキーの要件

必要な権限

アクセスキーは、CloudFront ディストリビューションの読み取りと更新、および ACM への証明書インポートができる AWS IAM ユーザーのものである必要があります。

少なくとも次のアクションを含む IAM ポリシーをユーザーにアタッチしてください。

• acm:ImportCertificate
• cloudfront:GetDistributionConfig
• cloudfront:UpdateDistribution

IAM 権限の管理は AWS IAM Documentation を参照してください。