BT

最新技術を追い求めるデベロッパのための情報コミュニティ

寄稿

Topics

地域を選ぶ

InfoQ ホームページ ニュース Amazon CloudFrontが設定可能なCORSとカスタムHTTPレスポンスヘッダーをサポート

Amazon CloudFrontが設定可能なCORSとカスタムHTTPレスポンスヘッダーをサポート

ブックマーク

原文(投稿日:2021/11/21)へのリンク

先ごろ、Amazon CloudFront はレスポンスヘッダーポリシーのサポートの追加によって、レスポンスヘッダーを挿入するためのカスタム Lambda@Edge およびCloudFront ファンクションの不要とした。この新機能により、開発者はクロスオリジンリソースシェアリング (CORS)、セキュリティ、およびカスタムヘッダーを HTTP レスポンスに追加できる。

キーバリューのペアをレスポンスヘッダーに追加、Web アプリケーションの動作を変更、CDN レイヤで (HTTPS 接続の強制など) 通信を保護することができるようになった。次のセキュリティヘッダーがサポートされている: HTTP Strict Transport Security (HSTS)、X-XSS-Protection、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、および Content-Security-Policy。

Lambda@EdgeCloudFront ファンクションは CloudFront のリクエストとレスポンスの操作を可能にするが、レスポンスヘッダーポリシーは、CORS、セキュリティ、カスタムレスポンスヘッダーを定義するプロセスを簡素化する。別の記事で、AWSのエッジスペシャリストソリューションアーキテクトである Kamil Bogacz 氏が、レスポンスヘッダーポリシーがどのように CloudFront ワークフローに適合するかを説明している:

ヘッダーセットの複数の組み合わせを定義し、それらを個別の再利用可能なポリシーとして保持できます。次に、これらのポリシーを1つ以上の動作に関連付けて、目的のアプリケーション機能を実現できます。レスポンスに追加の処理が必要な場合、レスポンスヘッダーポリシーを介したヘッダーの追加で Lambda@Edge または CloudFront ファンクションと連携できます。

出典: https://aws.amazon.com/blogs/networking-and-content-delivery/amazon-cloudfront-introduces-response-headers-policies

The Duckbill Group のクラウドエコノミストの Coney Quinn 氏は、次のようにツイートしている:

私はこれを *何年も* 求めてきました。最初の re:Invent で EBC (Executive Briefing Center) に (私が信じる) AWS CloudFront GM を含めました。私は誰かのフルーツバスケットを借ります。

2017年、Quinn 氏は「static headache (スタティック頭痛)」の記事を書いた。これは、静的な Web サイトにセキュリティヘッダーを挿入するという課題だった:

CloudFront (CDN サービス) に静的なヘッダーを挿入するには、すべての遠くからやってくるリクエストに必要なものを動的に挿入するためにおかしな Javascript 関数を使う必要があります。(...) 最後の憤慨は、静的ヘッダーを追加するだけで、100万リクエストあたり 0.91 ドルを支払うことになることです。

変更可能なレスポンスヘッダーの欠如は Reddit で何度も議論され、AWS のシニアエッジスペシャリストソリューションアーキテクトの Jibril Touzi 氏は、Lambda@Edge を使用する CORS ヘッダーを追加する一般的な回避策を書いた。SRE エンジニアの Laurynas Tumosa 氏は、次のようにコメントしている:

今、CloudFront にヘッダーを追加するサービスは3つあり、それぞれがわずかに異なります。

セキュリティコンサルタントの Scott Piper 氏は、HTTP レスポンスヘッダー操作の利点を次のようにまとめている:

コード不要、コスト不要、簡単な構成と監査。

CloudFront レスポンスヘッダーポリシーを設定するための追加コストはない。この新機能は、CloudFront コンソール、AWS SDK、および AWS CLI を使用して利用可能だ。

この記事に星をつける

おすすめ度
スタイル

こんにちは

コメントするには InfoQアカウントの登録 または が必要です。InfoQ に登録するとさまざまなことができます。

アカウント登録をしてInfoQをお楽しみください。

HTML: a,b,br,blockquote,i,li,pre,u,ul,p

コミュニティコメント

HTML: a,b,br,blockquote,i,li,pre,u,ul,p

HTML: a,b,br,blockquote,i,li,pre,u,ul,p

BT