Lambda@EdgeでCloudFrontへのアクセスをいい感じに振り分ける

f:id:vasilyjp:20180927112718j:plain

（Icon Credit *1）

こんにちは。PB開発部インフラチームの@inductorです。最近はすっかりインフラ勉強会というオンライン勉強会の運営が趣味になっています。

今回はLambda@EdgeというAWSのサービスを使って、CloudFrontへのアクセスを「細かいルール」を設定して振り分けてみたいと思います。

Lambda@Edgeについてもう詳しく知っているよ！　という方は、次のセクションはスキップしてもらって構いません。もしよく知らないという方は、一緒に勉強してみましょう！

AWS Lambda@Edgeとは

Lambda@Edgeは以下の2つのサービスから成り立ちます。

AWS Lambda
Amazon CloudFront

CloudFrontのエッジロケーションにおいて、Lambdaで定義した任意のコードを実行できるというのがLambda@Edgeで、具体的には以下のような恩恵を得ることができます。

エッジロケーション（地域）に応じて表示させるコンテンツを変えたい
User-Agentなどに応じて取得するコンテンツを変えたい
アクセス元のIPアドレスによって表示させるコンテンツを変えたい
- 開発環境に、アクセス元IPが自社でない場合のみBasic認証を導入したい
実際に叩かれるURLと、S3などから実際に取得する資源のURIを変更したい

この他にも、CloudFrontから取得できるデータに応じて様々な対応を柔軟に行えるのが特徴です。

AWS Lambdaのおさらい

AWS Lambdaは、任意のプログラムをサーバを用意することなく実行できるFaaS(Function as a Service)のサービスです。主に、バッチ処理やログの処理、サーバレスアーキテクチャにおけるバックエンドの処理などで利用されます。現在Lambdaで提供されている実行環境には、Node.js、Java、C#、Go、Pythonがあり、それぞれ好きな言語を選んで実行させることができます。

詳しくは、AWSの公式ページや、クラスメソッドさんなどの記事をご覧いただければと思います。

Amazon CloudFrontのおさらい

Amazon CloudFrontは、AWSのCDNサービスです。世界中に存在する「エッジロケーション」と呼ばれるAmazonの各拠点に対して、S3に保存した静的コンテンツ（HTML、CSS、JSなど）をキャッシュさせておくことができます。

キャッシュのルールを細かく設定できる他、SSL証明書をACMなどから投入しつつHTTP/2の有効化やTLSのバージョン指定などのエンドポイントとしても機能的に利用できるなど、開発者にとって面倒な設定も簡単にできるという利点もあります。

改めてLambda@Edgeとは

CloudFrontのエッジロケーションにおいて、Lambdaを使って細かいルールを自由に設定できるサービスです。

CloudFrontでは大きく分けて以下の4つのデータの流れがあり、それぞれ、1つのリクエスト（レスポンス）に対して一意のLambdaのコードを割り当てることができます（割り当てなくても動作はします）。

f:id:vasilyjp:20180709150636p:plain ※引用元スライド： https://www.slideshare.net/AmazonWebServicesJapan/aws-blackbelt-online-seminar-2017-amazon-cloudfront-aws-lambdaedge

Lambda@Edge導入前の注意事項と事前準備

注意事項

Lambda＠Edgeにて2018年7月現在で対応しているのはNode.js(6.10と8.10)のみです
Lambda関数はバージニアリージョンで作成する必要があります
Lambda関数が実行されたときに吐き出されるログが保管されるリージョンは、ユーザーから最も近いエッジロケーションになります
- 例えばバージニアリージョンでコードを上げていても、ベトナムのユーザーがアクセスした場合、LambdaのCloudWatchログはムンバイなどのリージョンに表示されます
CloudFrontの仕様上、特定のHTTPヘッダについて書き換えられないなどの制限があります
- 詳しくは公式のドキュメントへどうぞ

必要な事前準備

Lambda@Edgeを適用するためには以下の準備が必要となります。

これらについては今回は省略します。それぞれ、該当リンクなどを参考に準備をしてみてください。

まず、IPアドレスに応じて必要な振り分け先を変えるという対応をしてみましょう。

サンプルとして、以下のようなコードを作成し、Lambda@Edgeの設定をしていきます（IPアドレスはダミーのため、各自試したいものに変更しましょう）。

'use strict'

const permitIp = [
  '172.0.0.1', //IPアドレスは各自設定すること！
  '172.0.0.2',
];

exports.handler = (event, context, callback) => {
  const request = event.Records[0].cf.request;
  const httpVersion = request.httpVersion;
  const clientIp = request.clientIp;
  const isPermittedIp = permitIp.includes(clientIp);

  if (isPermittedIp) {
    // 許可されているIPであればそのまま次の処理へ
    callback(null, request);
  } else {
    // 許可されていないIPに対しては許可されていない旨のメッセージを返す
    const body =
      '<!DOCTYPE html>\n' +
      '<html>\n' +
      '<head><title>Hello From Lambda@Edge</title></head>\n' +
      '<body>\n' +
      'Your IP address is not permitted to access!\n' +
      '</body>\n' +
      '</html>'

    /* Generate HTTP response */
    const customResponse = {
      status: '200',
      statusDescription: 'HTTP OK',
      httpVersion: httpVersion,
      body: body,
      headers: {
        'cache-control': [{
          key: 'Cache-Control',
          value: 'max-age=100'
        }],
        'content-type': [{
          key: 'Content-Type',
          value: 'text/html; charset=utf-8'
        }],
      },
    };
    callback(null, customResponse);
  }
}