APIサーバーにCloudFrontを導入してセキュリティを向上する

背景・当時の状況

エンドユーザーからのAPIリクエストが直接オリジンサーバー（ALB）に刺さる構成になっており、セキュリティ面に不安がありました。

負荷影響を除く実害は確認されていなかったものの、定期的に無差別攻撃と思われるまとまったリクエストが発生していました。

どのような状態を目指していたか

通信経路にリバースプロキシとしてCloudFrontを配置し、さらにその前段にWAFを置くことで不適切なリクエストをオリジンサーバーに到達させることなく、セキュリティ向上と負荷の軽減を達成したいと考えていました。

また、副次効果としてエッジロケーションからのアクセスによる通信の高速化や、無料枠によるネットワーク転送料削減などのメリットを期待していました。

Good

WAFと併せて導入し、CloudFrontを経由しないALBへの直アクセスも不正なリクエストとして扱うように設定することで、不適切なリクエストをアプリケーション層で弾くことができるようになり、セキュリティの向上とAPIサーバーの負荷軽減を実現することができました。

More

パフォーマンス改善については導入前後のベンチマークで有意な差は見られず、現状のサービス規模（Data transfer out: 1~2G/月）ではコスト面に対する影響もほとんど見られませんでした。

既に本番稼働中のAPIサーバーへの通信経路をダウンタイムなしで変更するために、作業手順に問題がないかを入念に確認する必要がありました。

具体的には、Blue/Greenデプロイを採用しているので、現在有効なデプロイとして稼働している方にALBのHTTPリスナーのターゲットグループを合わせてTerraformをapplyする必要があるなど、注意すべき点が存在しました。

メディアを扱うような特定のエンドポイントについて、キャッシュを適切に利用することでパフォーマンスの改善が期待できるため、キャッシュ運用戦略も検討していきたいと考えています。