S3のバケットのデフォルトのドメインは次のようなものです

https://bucket-name.s3.ap-northeast-1.amazonaws.com

バケットに保存したファイルをダウンロードするために、このドメインを用いたりしますが、toC向けなどではこのドメインをオリジナルにしたいことがあります。

このような場合、CloudFrontを使ってドメインを設定し、CloudFront経由でS3バケットにアクセスするようにします。

手順としては次のような感じです。

1. バケットを作成する
2. CloudFrontのディストリビューションを作成する
3. CloudFrontのオリジンに作成したS3バケットを指定する
4. SSL証明書を設定し、カスタムドメインを設定する
5. Route53へカスタムドメインを登録する
6. S3にバケットポリシーを適用する

この流れですね。これをterraformのコードで見ていきましょう。

CloudFrontディストリビューションの作成

resource "aws_cloudfront_distribution" "static_file" {
  enabled     = true
  price_class = "PriceClass_200"

  aliases = [var.static_file_domain_name]
  comment = var.static_file_domain_name

  origin {
    domain_name = "custome_domain"
    origin_id   = data.terraform_remote_state.s3.outputs.s3.aws_s3_bucket_static_file_id
    s3_origin_config {
      origin_access_identity = aws_cloudfront_origin_access_identity.static_file.cloudfront_access_identity_path
    }
  }

  default_cache_behavior {
    allowed_methods        = ["GET", "HEAD"]
    cached_methods         = ["GET", "HEAD"]
    target_origin_id       = data.terraform_remote_state.s3.outputs.s3.aws_s3_bucket_static_file_id
    viewer_protocol_policy = "redirect-to-https"

    forwarded_values {
      query_string = true

      cookies {
        forward = "all"
      }
    }
  }

  restrictions {
    geo_restriction {
      restriction_type = "none"
    }
  }

  viewer_certificate {
    acm_certificate_arn            = data.terraform_remote_state.acm.outputs.acm.aws_acm_certificate_us_east_1_arn
    cloudfront_default_certificate = false
    minimum_protocol_version       = "TLSv1.2_2021"
    ssl_support_method             = "sni-only"
  }
}

Route53にカスタムドメインを登録

resource "aws_route53_record" "static_file" {
  zone_id = var.public_dns_zone_id
  name    = var.static_file_domain_name
  type    = "A"

  alias {
    name                   = aws_cloudfront_distribution.static_file.domain_name
    zone_id                = aws_cloudfront_distribution.static_file.hosted_zone_id
    evaluate_target_health = false
  }
}

バケットポリシーの適用

data "aws_iam_policy_document" "static_file" {
  statement {
    sid    = "AllowAccessFromCloudFront"
    effect = "Allow"
    principals {
      type        = "AWS"
      identifiers = [aws_cloudfront_origin_access_identity.static_file.iam_arn]
    }
    actions = [
      "s3:GetObject",
      "s3:ListBucket"
    ]

    resources = [
      data.terraform_remote_state.s3.outputs.s3.aws_s3_bucket_static_file_arn,
      "${data.terraform_remote_state.s3.outputs.s3.aws_s3_bucket_static_file_arn}/*"
    ]
  }
}

resource "aws_s3_bucket_policy" "static_file" {
  bucket = data.terraform_remote_state.s3.outputs.s3.aws_s3_bucket_static_file_id
  policy = data.aws_iam_policy_document.static_file.json
}