CloudFront署名付きURL経由でS3にアップロードする

CloudFrontの署名付きURLを使えば、独自ドメイン経由でS3にアップロードできます。S3の直接の署名付きURLが使えない場合に有用です。

Takahiro Iwasa

2024-07-07

5 min read

CloudFrontには署名付きURLを生成する機能があります。S3にも同様の機能がありますが、CloudFrontを使うと独自ドメイン経由でもアップロードできるため、ドメイン制限のある環境では特に有用です。

Serve private content with signed URLs and signed cookies

Architecture Diagram

信頼された署名者の指定

信頼された署名者として使用するキーグループを作成します。

Specify signers that can create signed URLs and signed cookies

❗ Important

AWSアカウントを信頼された署名者として使用することも可能ですが、AWSはキーグループの使用を推奨しています。詳細はChoose between trusted key groups (recommended) and AWS accountsを参照してください。

キーペアは次の要件を満たす必要があります。

タイプ: SSH-2 RSAキーペア
フォーマット: Base64エンコードされたPEM
キーサイズ: 2048ビット

次のコマンドでキーペアを作成します。

openssl genrsa -out private_key.pem 2048
openssl rsa -pubout -in private_key.pem -out public_key.pem

構築

公開鍵をPublicKeyパラメータ（5行目）に渡し、それを使用します（38行目）。
S3バケットポリシーがs3:PutObjectアクションを許可していることを確認します（27行目）。
AllViewerExceptHostHeaderオリジンリクエストポリシーを使用します（85行目）。

1
AWSTemplateFormatVersion: 2010-09-09
2
Description: Example of CloudFront pre-signed URLs to upload files to S3 Bucket
3

4
Parameters:
5
  PublicKey:
6
    Type: String
7

8
Resources:
9
  S3Bucket:
10
    Type: AWS::S3::Bucket
11
    Properties:
12
      BucketName: !Sub uploaded-files-${AWS::AccountId}-${AWS::Region}
13

14
  S3BucketPolicy:
15
    Type: AWS::S3::BucketPolicy
16
    Properties:
17
      Bucket: !Ref S3Bucket
18
      PolicyDocument:
19
        Version: 2008-10-17
20
        Id: PolicyForCloudFrontPrivateContent
21
        Statement:
22
          - Sid: AllowCloudFrontServicePrincipal
23
            Effect: Allow
24
            Principal:
25
              Service: cloudfront.amazonaws.com
26
            Action:
27
              - s3:PutObject
28
            Resource: !Sub ${S3Bucket.Arn}/*
29
            Condition:
30
              StringEquals:
31
                "AWS:SourceArn": !Sub arn:aws:cloudfront::${AWS::AccountId}:distribution/${CloudFrontDistribution}
32

33
  CloudFrontPublicKey:
34
    Type: AWS::CloudFront::PublicKey
35
    Properties:
36
      PublicKeyConfig:
37
        Name: signer1
38
        EncodedKey: !Ref PublicKey
39
        CallerReference: cloudfront-caller-reference-example
40

41
  CloudFrontKeyGroup:
42
    Type: AWS::CloudFront::KeyGroup
43
    Properties:
44
      KeyGroupConfig:
45
        Name: cloudfront-key-group-1
46
        Items:
47
          - !Ref CloudFrontPublicKey
48

49
  CloudFrontOriginAccessControl:
50
    Type: AWS::CloudFront::OriginAccessControl
51
    Properties:
52
      OriginAccessControlConfig:
53
        Name: !Ref S3Bucket
54
        OriginAccessControlOriginType: s3
55
        SigningBehavior: always
56
        SigningProtocol: sigv4
57

58
  CloudFrontDistribution:
59
    Type: AWS::CloudFront::Distribution
60
    Properties:
61
      DistributionConfig:
62
        Enabled: true
63
        HttpVersion: http2and3
64
        Origins:
65
          - Id: !GetAtt S3Bucket.DomainName
66
            DomainName: !GetAtt S3Bucket.DomainName
67
            OriginAccessControlId: !Ref CloudFrontOriginAccessControl
68
            S3OriginConfig:
69
              OriginAccessIdentity: ''
70
        DefaultCacheBehavior:
71
          AllowedMethods:
72
            - HEAD
73
            - DELETE
74
            - POST
75
            - GET
76
            - OPTIONS
77
            - PUT
78
            - PATCH
79
          Compress: true
80
          # CachingDisabled
81
          # See https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/using-managed-cache-policies.html#managed-cache-policy-caching-disabled
82
          CachePolicyId: 4135ea2d-6df8-44a3-9df3-4b5a84be39ad
83
          # AllViewerExceptHostHeader
84
          # https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/using-managed-origin-request-policies.html#managed-origin-request-policy-all-viewer-except-host-header
85
          OriginRequestPolicyId: b689b0a8-53d0-40ab-baf2-68738e2966ac
86
          TargetOriginId: !GetAtt S3Bucket.DomainName
87
          TrustedKeyGroups:
88
            - !Ref CloudFrontKeyGroup
89
          ViewerProtocolPolicy: https-only
90

91
Outputs:
92
  CloudFrontDistributionDomainName:
93
    Value: !GetAtt CloudFrontDistribution.DomainName
94
  CloudFrontPublicKeyId:
95
    Value: !Ref CloudFrontPublicKey
96
  S3BucketName:
97
    Value: !Ref S3Bucket

次のコマンドでCloudFormationスタックをデプロイします。

PUBLIC_KEY=$(cat public_key.pem)
aws cloudformation deploy \
  --template-file template.yaml \
  --stack-name cloudfront-presigned-urls-example \
  --parameter-overrides PublicKey=$PUBLIC_KEY

デプロイされたリソースを確認します。

aws cloudformation describe-stacks \
  --stack-name cloudfront-presigned-urls-example \
| jq ".Stacks[0].Outputs"

テスト

次の変数を設定します。

CLOUDFRONT_DOMAIN=<CloudFront domain>
KEYPAIR_ID=<Key pair ID>
UTC_OFFSET=+9

URLを生成します。

PRESIGNED_URL=$(aws cloudfront sign \
  --url https://$CLOUDFRONT_DOMAIN/upload-test.txt \
  --key-pair-id $KEYPAIR_ID \
  --private-key file://private_key.pem \
  --date-less-than $(date -v +5M "+%Y-%m-%dT%H:%M:%S$UTC_OFFSET"))

echo $PRESIGNED_URL
# https://<distribution-id>.cloudfront.net/upload-test.txt?Expires=...&Signature=...Key-Pair-Id=...

ファイルをアップロードします。

echo 'Hello World' > example.txt
curl -X PUT -d "$(cat example.txt)" $PRESIGNED_URL

ファイルがアップロードされたことを確認します。

aws s3 cp s3://uploaded-files-<AWS::AccountId>-<AWS::Region>/upload-test.txt ./
cat ./upload-test.txt

クリーンアップ

次のコマンドで、この例でプロビジョニングしたすべてのAWSリソースをクリーンアップします。

ℹ️ Note

CloudFrontディストリビューションの無効化には数分かかる場合があります。

aws s3 rm s3://uploaded-files-<AWS::AccountId>-<AWS::Region>/upload-test.txt
aws cloudformation delete-stack --stack-name cloudfront-presigned-urls-example

まとめ

信頼されたキーグループでCloudFrontのURLに署名し、それを使ってファイルをPUTしたところ、S3への直接の署名付きURLではなく、独自ドメイン経由でアップロードがS3に到達することがわかりました。これらのURLの署名に使うキーペアはAWSに一切触れません。CloudFrontが受け取るのはCloudFrontPublicKey経由の公開鍵だけで、秘密鍵はaws cloudfront signを実行する側の環境にとどまります。これが、AWSアカウントを署名者として使うよりも信頼されたキーグループのモデルが推奨される理由です。秘密鍵が漏洩しても、IAMの設定に触れることなくキーグループから外してローテーションできます。オリジンリクエストポリシー（AllViewerExceptHostHeader）とバケットポリシーのs3:PutObject条件は、どちらもディストリビューションのARNと一致していないとアップロードが成功しません。そのため、CloudFrontがURLを返したからといってそれが有効だと決めつけず、上で行ったように署名、PUT、S3からの読み戻しという一連の流れを通しでテストしておく価値があります。

記事一覧に戻る