CloudFront 署名付き URL 経由で S3 にアップロードする

CloudFront の署名付き URL を使い、独自ドメイン経由で S3 にアップロードする方法を紹介します。S3 の署名付き URL を直接使えない場合に有用です。

Takahiro Iwasa

2024-07-07

5 min read

CloudFront と S3 は、どちらも署名付き URL をサポートしています。CloudFront の署名付き URL を使うと、CloudFront ディストリビューションとその独自ドメインを経由してアップロードできます。クライアントの接続先ドメインが制限されている環境で有用です。

Serve private content with signed URLs and signed cookies

Architecture Diagram

信頼された署名者の指定

信頼された署名者として使用するキーグループを作成します。

Specify signers that can create signed URLs and signed cookies

❗ Important

AWSアカウントを信頼された署名者として使用することも可能ですが、AWSはキーグループの使用を推奨しています。詳細はChoose between trusted key groups (recommended) and AWS accountsを参照してください。

この例では、次の要件を満たす RSA キーペアを使用します。2024 年当時の CloudFront キーグループは、ECDSA 256 署名にも対応していました。

タイプ: SSH-2 RSA キーペア
フォーマット: Base64 エンコードされた PEM
キーサイズ: 2048 ビット

次のコマンドでキーペアを作成します。

openssl genrsa -out private_key.pem 2048
openssl rsa -pubout -in private_key.pem -out public_key.pem

構築

公開鍵を PublicKey パラメータ（5行目）に渡し、それを使用します（38行目）。
S3 バケットポリシーで s3:PutObject アクションを許可します（27 行目）。
AllViewerExceptHostHeader オリジンリクエストポリシーを使用します（85 行目）。

1
AWSTemplateFormatVersion: 2010-09-09
2
Description: Example of CloudFront pre-signed URLs to upload files to S3 Bucket
3

4
Parameters:
5
  PublicKey:
6
    Type: String
7

8
Resources:
9
  S3Bucket:
10
    Type: AWS::S3::Bucket
11
    Properties:
12
      BucketName: !Sub uploaded-files-${AWS::AccountId}-${AWS::Region}
13

14
  S3BucketPolicy:
15
    Type: AWS::S3::BucketPolicy
16
    Properties:
17
      Bucket: !Ref S3Bucket
18
      PolicyDocument:
19
        Version: 2008-10-17
20
        Id: PolicyForCloudFrontPrivateContent
21
        Statement:
22
          - Sid: AllowCloudFrontServicePrincipal
23
            Effect: Allow
24
            Principal:
25
              Service: cloudfront.amazonaws.com
26
            Action:
27
              - s3:PutObject
28
            Resource: !Sub ${S3Bucket.Arn}/*
29
            Condition:
30
              StringEquals:
31
                "AWS:SourceArn": !Sub arn:aws:cloudfront::${AWS::AccountId}:distribution/${CloudFrontDistribution}
32

33
  CloudFrontPublicKey:
34
    Type: AWS::CloudFront::PublicKey
35
    Properties:
36
      PublicKeyConfig:
37
        Name: signer1
38
        EncodedKey: !Ref PublicKey
39
        CallerReference: cloudfront-caller-reference-example
40

41
  CloudFrontKeyGroup:
42
    Type: AWS::CloudFront::KeyGroup
43
    Properties:
44
      KeyGroupConfig:
45
        Name: cloudfront-key-group-1
46
        Items:
47
          - !Ref CloudFrontPublicKey
48

49
  CloudFrontOriginAccessControl:
50
    Type: AWS::CloudFront::OriginAccessControl
51
    Properties:
52
      OriginAccessControlConfig:
53
        Name: !Ref S3Bucket
54
        OriginAccessControlOriginType: s3
55
        SigningBehavior: always
56
        SigningProtocol: sigv4
57

58
  CloudFrontDistribution:
59
    Type: AWS::CloudFront::Distribution
60
    Properties:
61
      DistributionConfig:
62
        Enabled: true
63
        HttpVersion: http2and3
64
        Origins:
65
          - Id: !GetAtt S3Bucket.DomainName
66
            DomainName: !GetAtt S3Bucket.DomainName
67
            OriginAccessControlId: !Ref CloudFrontOriginAccessControl
68
            S3OriginConfig:
69
              OriginAccessIdentity: ''
70
        DefaultCacheBehavior:
71
          AllowedMethods:
72
            - HEAD
73
            - DELETE
74
            - POST
75
            - GET
76
            - OPTIONS
77
            - PUT
78
            - PATCH
79
          Compress: true
80
          # CachingDisabled
81
          # See https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/using-managed-cache-policies.html#managed-cache-policy-caching-disabled
82
          CachePolicyId: 4135ea2d-6df8-44a3-9df3-4b5a84be39ad
83
          # AllViewerExceptHostHeader
84
          # https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/using-managed-origin-request-policies.html#managed-origin-request-policy-all-viewer-except-host-header
85
          OriginRequestPolicyId: b689b0a8-53d0-40ab-baf2-68738e2966ac
86
          TargetOriginId: !GetAtt S3Bucket.DomainName
87
          TrustedKeyGroups:
88
            - !Ref CloudFrontKeyGroup
89
          ViewerProtocolPolicy: https-only
90

91
Outputs:
92
  CloudFrontDistributionDomainName:
93
    Value: !GetAtt CloudFrontDistribution.DomainName
94
  CloudFrontPublicKeyId:
95
    Value: !Ref CloudFrontPublicKey
96
  S3BucketName:
97
    Value: !Ref S3Bucket

次のコマンドで CloudFormation スタックをデプロイします。

PUBLIC_KEY=$(cat public_key.pem)
aws cloudformation deploy \
  --template-file template.yaml \
  --stack-name cloudfront-presigned-urls-example \
  --parameter-overrides PublicKey=$PUBLIC_KEY

デプロイされたリソースを確認します。

aws cloudformation describe-stacks \
  --stack-name cloudfront-presigned-urls-example \
| jq ".Stacks[0].Outputs"

テスト

次の変数を設定します。

CLOUDFRONT_DOMAIN=<CloudFront domain>
KEYPAIR_ID=<Key pair ID>
UTC_OFFSET=+9

URL を生成します。ここで使う date -v 構文は macOS 用です。

PRESIGNED_URL=$(aws cloudfront sign \
  --url https://$CLOUDFRONT_DOMAIN/upload-test.txt \
  --key-pair-id $KEYPAIR_ID \
  --private-key file://private_key.pem \
  --date-less-than $(date -v +5M "+%Y-%m-%dT%H:%M:%S$UTC_OFFSET"))

echo $PRESIGNED_URL
# https://<distribution-id>.cloudfront.net/upload-test.txt?Expires=...&Signature=...Key-Pair-Id=...

ファイルをアップロードします。

echo 'Hello World' > example.txt
curl -X PUT -d "$(cat example.txt)" $PRESIGNED_URL

ファイルがアップロードされたことを確認します。

aws s3 cp s3://uploaded-files-<AWS::AccountId>-<AWS::Region>/upload-test.txt ./
cat ./upload-test.txt

クリーンアップ

次のコマンドで、この例で作成したすべての AWS リソースを削除します。

ℹ️ Note

CloudFrontディストリビューションの無効化には数分かかる場合があります。

aws s3 rm s3://uploaded-files-<AWS::AccountId>-<AWS::Region>/upload-test.txt
aws cloudformation delete-stack --stack-name cloudfront-presigned-urls-example

まとめ

信頼されたキーグループで CloudFront の URL に署名し、その URL へファイルを PUT することで、S3 の署名付き URL を直接使わず、独自ドメイン経由で S3 にアップロードできることを確認しました。

URL の署名に使う秘密鍵は AWS へアップロードしません。CloudFront が CloudFrontPublicKey 経由で受け取るのは公開鍵だけで、秘密鍵は aws cloudfront sign を実行する環境に残ります。信頼されたキーグループを使えば、鍵が漏洩した場合も IAM 認証情報を変更せずに鍵を交換できます。

アップロードを成功させるには、キャッシュビヘイビアで PUT を許可して署名用キーグループを信頼し、オリジンアクセスコントロールと S3 バケットポリシーで CloudFront に s3:PutObject を許可する必要があります。URL を生成できただけで設定が正しいとは判断せず、署名、PUT、S3 からの読み戻しまでを通してテストしてください。

記事一覧に戻る