Comment résoudre les problèmes d'accès à la distribution CloudFront liés aux CNAME et aux origines personnalisées ?

Résolution

Suivez les étapes de dépannage suivantes pour résoudre les problèmes liés à votre distribution CloudFront configurée avec des CNAME ou des origines personnalisées.

Remarque : CNAME est également connu comme un nom de domaine alternatif.

Problèmes liés aux certificats SSL/TLS

Si vous pouvez accéder au contenu depuis l'URL de distribution mais que vous recevez des erreurs SSL/TLS via l'enregistrement CNAME, il peut s'agir d'un problème d’incompatibilité de certificat. Assurez-vous que le certificat SSL/TLS associé à votre distribution CloudFront inclut l'enregistrement CNAME.

Si vous avez besoin d'une connexion HTTPS entre une origine personnalisée et votre distribution CloudFront, des noms de domaine incompatibles peuvent provoquer des erreurs. Par exemple, les noms de domaine ne correspondent pas et l'établissement de liaison SSL/TLS échoue. CloudFront renvoie une erreur « HTTP status code 502 ». Pour résoudre ce problème, consultez la section Échec de la négociation SSL/TLS entre CloudFront et un serveur d'origine personnalisé.

Remarque : il n’est pas possible d’associer plusieurs certificats SSL/TLS (Transport Layer Security) à une seule distribution CloudFront. Pour plus d’informations, consultez la section Puis-je associer plusieurs certificats SSL/TLS à ma distribution CloudFront ?

Si vous utilisez HTTPS, vous devez associer un certificat SSL/TLS à l'enregistrement CNAME de la distribution CloudFront. Vous pouvez utiliser AWS Certificate Manager (ACM) pour importer un certificat ou demander un certificat public.

Remarque : si vous avez essayé de supprimer un certificat SSL/TLS et que vous avez reçu un message d'erreur indiquant que CloudFront utilise le certificat, vérifiez vos exigences de configuration. Pour plus d’informations, consultez la section Message d’erreur : Certificate: <certificate-id> is being used by CloudFront.

Mauvaise configuration de l'enregistrement CNAME

Assurez-vous que l'enregistrement CNAME est correct dans les paramètres de distribution de CloudFront. Attachez un certificat SSL/TLS valide qui inclut le nom de domaine alternatif à la distribution. Vous devez utiliser un nom de domaine complet (FQDN), tel que www.example.com, ou un autre nom de domaine générique, tel que *.example.com.

Si vous possédez plusieurs enregistrements de domaine, veillez à les séparer par des virgules ou à saisir chaque nom de domaine sur une nouvelle ligne. Assurez-vous également que votre enregistrement CNAME pointe vers le nom de domaine de votre distribution plutôt que vers votre compartiment Amazon Simple Storage Service (Amazon S3). Pour plus d'informations, consultez la section Votre nom de domaine alternatif (CNAME) est-il correctement configuré ?

Problèmes de routage DNS

Vérifiez que la configuration de vos enregistrements DNS achemine correctement le trafic du CNAME vers la distribution CloudFront. Dans Amazon Route 53, créez un enregistrement d'alias qui associe le nom de domaine au nom de domaine de la distribution CloudFront. Si vous avez reçu le message « incorrectly configured DNS record error », il se peut qu'une entrée DNS générique pointe vers votre distribution. Pour plus d'informations, consultez la section CloudFront renvoie une erreur d'enregistrement DNS mal configurée lorsque j'essaie d'ajouter un nouveau CNAME.

Erreurs d'accès refusé

Le message d'erreur « 403 Access Denied » peut s'afficher dans les scénarios suivants :

• Votre distribution restreint l'accès à une origine Amazon S3. Assurez-vous que la stratégie de compartiment accorde les autorisations requises à l’identité d'accès d'origine (OAI) pour accéder au compartiment S3. Pour plus d'informations, consultez la section Restreindre l'accès à une origine Amazon S3.
• Vous avez configuré votre distribution pour renvoyer des réponses d'erreur personnalisées à partir d'une origine S3. Assurez-vous que l'OAI dispose d'un accès en lecture au compartiment S3.
• Vous avez activé AWS WAF pour votre distribution. Consultez les journaux AWS WAF pour déterminer si les règles de pare-feu bloquaient les requêtes.
• Votre distribution utilise un point de terminaison de l'API REST Amazon S3 comme nom de domaine d'origine. Vérifiez vos exigences de configuration. Pour plus d’informations, consultez la section Pourquoi est-ce que j'obtiens des erreurs « 403 Access Denied » lorsque j'utilise un point de terminaison de l’API REST S3 comme origine de ma distribution CloudFront ?
• Vous utilisez un point de terminaison de site Web Amazon S3 comme point d'origine de votre distribution. Vérifiez vos exigences de configuration. Pour plus d’informations, consultez la section Pourquoi est-ce que je reçois un message d’erreur « 403 access denied » lorsque j’utilise un point de terminaison du site Web d’Amazon S3 comme origine de ma distribution CloudFront ?
• Votre rôle ou utilisateur Gestion des identités et des accès AWS (AWS IAM) ne dispose pas de l'autorisation requise sur une ressource CloudFront ou présente des informations d'identification incorrects. Vérifiez vos informations d'identification et assurez-vous que votre utilisateur ou votre rôle IAM dispose des autorisations nécessaires.

Échecs de résolution DNS pour les origines privées ou internes

Si vous utilisez une ressource privée ou interne comme origine de votre distribution, celle-ci pourrait ne pas résoudre le nom DNS de l'origine. Par exemple, si vous utilisez un Application Load Balancer ou une ressource privée dans un cloud privé virtuel (VPC) comme origine.

Origines publiques

Vérifiez les configurations suivantes pour les origines publiques :

• Assurez-vous que l'origine dispose d'un accès à Internet. Pour les Application Load Balancers, modifiez le paramètre de schéma de manière qu'il soit interne ou accessible sur Internet. Pour les ressources d'un VPC, assurez-vous que celui-ci dispose d'une route vers Internet.
• Utilisez le nom DNS public comme nom de domaine d'origine dans vos paramètres de distribution CloudFront.
• Si votre origine se trouve dans un VPC, ajoutez les plages d'adresses IP CloudFront pour configurer une règle de groupe de sécurité qui autorise le trafic entrant depuis CloudFront.

Origines privées

Pour les origines privées, créez une origine VPC pour une distribution nouvelle ou existante. Pour plus d'informations, consultez la section Restreindre l'accès avec les origines du VPC.

Erreurs d'accès aux origines personnalisées

Si vous avez reçu l'erreur « HTTP 503 status code » ou « OriginDNSError » lorsque vous avez essayé d'accéder à votre origine personnalisée via CloudFront, vérifiez les points suivants :

• Si vous utilisez une origine personnalisée ou VPC, vérifiez la configuration du délai de réponse de l'origine. Si la valeur est trop faible, CloudFront expire avant de recevoir une réponse de l'origine. Pour plus d'informations, consultez la section Délai de réponse (origines personnalisées et VPC uniquement).
• Assurez-vous que le champ Politique du protocole d'origine correspond au protocole utilisé par votre serveur d'origine. Des incohérences entre le champ Politique du protocole d’origine de CloudFront et l'origine peuvent modifier l'URL et entraîner des problèmes d'accès.
• Si vous avez configuré CloudFront pour ajouter des en-têtes personnalisés aux demandes d'origine, vérifiez que les paramètres de nom et de valeur de l'en-tête sont corrects. Assurez-vous que votre configuration n'utilise pas d'en-têtes personnalisés que CloudFront ne peut pas ajouter aux demandes d'origine.

Informations connexes

Pourquoi mon application échoue-t-elle sur CloudFront alors que je peux utiliser l'application à partir d'une origine personnalisée ?

Comment puis-je augmenter le délai de réponse de mon origine personnalisée dans CloudFront ?

Résolution de problèmes de distribution