AWS CloudFrontとS3でグローバルCDN配信を設計する方法｜オリジンフェイルオーバーとキャッシュ制御入門

この記事のポイント

・CloudFrontはエッジロケーションでキャッシュしてレイテンシを削減するCDNサービスです
・S3オリジンにはOAC（Origin Access Control）を使い、S3直接アクセスを必ず遮断する
・オリジングループで5xxエラー時にセカンダリS3へ自動フェイルオーバーさせる
・キャッシュポリシーとCache-Controlヘッダーを組み合わせてTTLを適切に制御する

# create S3 bucket in ap-northeast-1 region
$ aws s3 mb s3://my-web-content-20261001 --region ap-northeast-1

# パブリックアクセスブロックを有効化（S3直接アクセスを禁止する）
$ aws s3api put-public-access-block   --bucket my-web-content-20261001   --public-access-block-configuration     BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

# OACを作成する
$ aws cloudfront create-origin-access-control   --origin-access-control-config     "Name=my-oac,Description=OAC for S3,SigningProtocol=sigv4,SigningBehavior=always,OriginAccessControlOriginType=s3"

# 実機出力（IDをメモしておく）
{
    "Location": "https://cloudfront.amazonaws.com/2020-05-31/origin-access-control/E3OACXMPL123",
    "ETag": "E2QWRUH2EXAMPLE",
    "OriginAccessControl": {
        "Id": "E3OACXMPL123",
        "OriginAccessControlConfig": {
            "Name": "my-oac",
            "Description": "OAC for S3",
            "SigningProtocol": "sigv4",
            "SigningBehavior": "always",
            "OriginAccessControlOriginType": "s3"
        }
    }
}

# S3バケットポリシー（policy.json）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudfront.amazonaws.com"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-web-content-20261001/*",
      "Condition": {
        "StringEquals": {
          "aws:SourceArn": "arn:aws:cloudfront::012345678901:distribution/E2QW9XMPL123"
        }
      }
    }
  ]
}

$ aws s3api put-bucket-policy   --bucket my-web-content-20261001   --policy file://policy.json

# 簡易作成（デフォルト設定で即時作成したい場合）
$ aws cloudfront create-distribution   --origin-domain-name my-web-content-20261001.s3.ap-northeast-1.amazonaws.com   --default-root-object index.html

# 実機出力（抜粋）
{
    "Location": "https://cloudfront.amazonaws.com/2020-05-31/distribution/E2QW9XMPL123",
    "Distribution": {
        "Id": "E2QW9XMPL123",
        "ARN": "arn:aws:cloudfront::012345678901:distribution/E2QW9XMPL123",
        "Status": "InProgress",
        "DomainName": "d1a2b3c4d5ef6.cloudfront.net"
    }
}

# Deployed になるまで数分かかる（進行状況を確認）
$ aws cloudfront get-distribution   --id E2QW9XMPL123   --query "Distribution.Status"   --output text
Deployed

# 全コンテンツのキャッシュを削除（/* はすべてのパスを対象にする）
$ aws cloudfront create-invalidation   --distribution-id E2QW9XMPL123   --paths "/*"

# 実機出力
{
    "Invalidation": {
        "Id": "I3INVALIDXMPL1",
        "Status": "InProgress",
        "CreateTime": "2026-10-01T10:23:45.000Z",
        "InvalidationBatch": {
            "Paths": {
                "Quantity": 1,
                "Items": ["/*"]
            }
        }
    }
}

# 特定パスだけ削除する場合
$ aws cloudfront create-invalidation   --distribution-id E2QW9XMPL123   --paths "/images/*" "/index.html"

# セカンダリバケットを大阪リージョンに作成
$ aws s3 mb s3://my-web-content-20261001-dr --region ap-northeast-3

# プライマリバケットでバージョニングを有効化（レプリケーションに必須）
$ aws s3api put-bucket-versioning   --bucket my-web-content-20261001   --versioning-configuration Status=Enabled

# セカンダリバケットでもバージョニングを有効化
$ aws s3api put-bucket-versioning   --bucket my-web-content-20261001-dr   --versioning-configuration Status=Enabled

# レプリケーション設定を適用（replication.jsonを用意してから実行）
$ aws s3api put-bucket-replication   --bucket my-web-content-20261001   --replication-configuration file://replication.json

# オリジングループの設定例（JSON）
# フェイルオーバー条件: 500・502・503 の場合にセカンダリへ切り替え
{
  "Id": "my-origin-group",
  "FailoverCriteria": {
    "StatusCodes": {
      "Quantity": 3,
      "Items": [500, 502, 503]
    }
  },
  "Members": {
    "Quantity": 2,
    "Items": [
      {"OriginId": "primary-s3-ap-northeast-1"},
      {"OriginId": "secondary-s3-ap-northeast-3"}
    ]
  }
}

# 現在の設定を確認する
$ aws cloudfront get-distribution   --id E2QW9XMPL123   --query "Distribution.DistributionConfig.DefaultCacheBehavior.ViewerProtocolPolicy"   --output text
redirect-to-https

# WebACL を us-east-1 で作成（scope=CLOUDFRONT が必須）
$ aws wafv2 create-web-acl   --name my-cloudfront-waf   --scope CLOUDFRONT   --default-action Allow={}   --visibility-config SampledRequestsEnabled=true,CloudWatchMetricsEnabled=true,MetricName=my-cloudfront-waf   --rules file://waf-rules.json   --region us-east-1

# バケットポリシーの現在の設定を確認する
$ aws s3api get-bucket-policy   --bucket my-web-content-20261001   --query Policy   --output text | python3 -m json.tool

# ACMで証明書を申請（DNS検証推奨・us-east-1を指定する）
$ aws acm request-certificate   --domain-name www.example.com   --validation-method DNS   --subject-alternative-names example.com   --region us-east-1

# 実機出力
{
    "CertificateArn": "arn:aws:acm:us-east-1:012345678901:certificate/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

# DNS検証に必要なCNAMEレコードを確認する
$ aws acm describe-certificate   --certificate-arn arn:aws:acm:us-east-1:012345678901:certificate/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx   --region us-east-1   --query "Certificate.DomainValidationOptions"

# Route 53 に Alias A レコードを追加する例（change-batch.json）
{
  "Changes": [{
    "Action": "UPSERT",
    "ResourceRecordSet": {
      "Name": "www.example.com",
      "Type": "A",
      "AliasTarget": {
        "HostedZoneId": "Z2FDTNDATAQYW2",
        "DNSName": "d1a2b3c4d5ef6.cloudfront.net",
        "EvaluateTargetHealth": false
      }
    }
  }]
}

# HostedZoneId: Z2FDTNDATAQYW2 は CloudFront 固定値
$ aws route53 change-resource-record-sets   --hosted-zone-id Z1234EXAMPLE5678   --change-batch file://change-batch.json