CNAME とカスタムオリジンを使用した CloudFront ディストリビューションへのアクセスの問題をトラブルシューティングする方法を教えてください。

所要時間2分

Canonical Name Records (CNAME) またはカスタムオリジンを使用した Amazon CloudFront ディストリビューションにアクセスする際に問題が発生しました。

解決策

以下のトラブルシューティング手順を使用して、CNAME またはカスタムオリジンで構成された CloudFront ディストリビューションの問題を解決します。

注: CNAME は代替ドメイン名としても知られています。

SSL/TLS 証明書に関する問題

ディストリビューション URL からコンテンツにアクセスできるのに、CNAME レコードから SSL/TLS エラーを受け取った場合は、証明書の不一致の問題である可能性があります。CloudFront ディストリビューションに関連付けられている SSL/TLS 証明書に CNAME レコードが含まれていることを確認してください。

カスタムオリジンと CloudFront ディストリビューションの間の HTTPS 接続が必要な場合、ドメイン名が一致しないとエラーが発生する可能性があります。例えば、ドメイン名が一致せず、SSL/TLS ハンドシェイクが失敗します。クラウドフロントは "HTTP status code 502" エラーを返します。この問題を解決するには、「CloudFront とカスタムオリジンサーバー間の SSL/TLS ネゴシエーションエラー」を参照してください。

注: 個々の CloudFront ディストリビューションに複数の SSL/TLS 証明書を関連付けることはできません。詳細については、「複数の SSL/TLS 証明書を CloudFront ディストリビューションに関連付けることはできますか」を参照してください。

HTTPS を使用する場合は、SSL/TLS 証明書を CloudFront ディストリビューションの CNAME レコードに関連付ける必要があります。AWS Certificate Manager (ACM) を使用して証明書をインポートしたり、パブリック証明書をリクエストしたりできます。

注: SSL/TLS 証明書を削除しようとして、CloudFront が証明書を使用しているというエラーメッセージが表示される場合は、設定要件を確認してください。詳細については、「エラーメッセージ: Certificate: <certificate-id> is being used by CloudFront」を参照してください。

CNAME レコードの設定ミス

CloudFront ディストリビューション設定の CNAME レコードが正しいことを確認します。代替ドメイン名を含む有効な SSL/TLS 証明書をディストリビューションにアタッチしてください。www.example.com などの完全修飾ドメイン名 (FQDN)、または *.example.com などのワイルドカード代替ドメイン名を使用する必要があります。

ドメインレコードが複数ある場合は、必ずカンマで区切るか、各ドメイン名を新しい行に入力してください。また、CNAME レコードが Amazon Simple Storage Service (Amazon S3) バケットではなく、ディストリビューションのドメイン名を指していることを確認してください。詳細については、「代替ドメイン名 (CNAME) が正しく設定されていますか?」を参照してください。

DNS ルーティングの問題

DNS レコードの設定が CNAME のトラフィックを CloudFront ディストリビューションに正しくルーティングすることを確認します。Amazon Route 53 で、ドメイン名を CloudFront ディストリビューションのドメイン名にマップするエイリアスレコードを作成します。「DNS レコードが正しく設定されていない」というエラーメッセージが表示された場合は、ディストリビューションを指すワイルドカード DNS エントリが既に存在している可能性があります。詳細については、「新しい CNAME を追加しようとすると、DNS レコードが正しく設定されていないというエラーが CloudFront から返されます」を参照してください。

アクセス拒否エラー

次のシナリオでは、"403 Access Denied" エラーが表示されることがあります。

ディストリビューションが Amazon S3 オリジンへのアクセスを制限している。バケットポリシーが S3 バケットにアクセスするために必要なアクセス許可をオリジンアクセスアイデンティティ (OAI) に付与していることを確認してください。詳細については、「Amazon S3 オリジンへのアクセスを制限する」を参照してください。
S3 オリジンからカスタムエラーレスポンスを返すようにディストリビューションを設定している。OAI に S3 バケットへの読み取りアクセス権があることを確認してください。
ディストリビューション用に AWS WAF を有効にしている。AWS WAF ログを確認して、ファイアウォールルールがリクエストをブロックしたかどうかを判断してください。
ディストリビューションで、Amazon S3 REST API エンドポイントをオリジンドメイン名として使用している。構成要件を確認してください。詳細については、「S3 REST API エンドポイントを CloudFront ディストリビューションのオリジンとして使用すると、"403 Access Denied" エラーが発生する理由を知りたいです」を参照してください。
Amazon S3 ウェブサイトエンドポイントをディストリビューションのオリジンとして使用している。構成要件を確認してください。詳細については、「Amazon S3 ウェブサイトのエンドポイントを CloudFront ディストリビューションのオリジンとして使用すると、"403 access denied" エラーが発生する理由を知りたいです」を参照してください。
AWS Identity and Access Management (IAM) ロールまたはユーザーに、CloudFront リソースに対する必要なアクセス許可がないか、認証情報が正しくない。認証情報を確認し、IAM ユーザーまたはロールに必要なアクセス許可があることを確認してください。

プライベートオリジンまたは内部オリジンの DNS 解決エラー

プライベートリソースまたは内部リソースをディストリビューションのオリジンとして使用すると、ディストリビューションがオリジンの DNS 名を解決できないことがあります。例えば、Application Load Balancer または仮想プライベートクラウド (VPC) 内のプライベートリソースをオリジンとして使用する場合です。

パブリックオリジン

パブリックオリジンの次の設定を確認してください。

オリジンがインターネットにアクセスできることを確認します。Application Load Balancer の場合、スキーマ設定を [内部] から [インターネット向け] に変更します。VPC 内のリソースについては、VPC にインターネットへのルートがあることを確認します。
パブリック DNS 名を CloudFront ディストリビューション設定のオリジンドメイン名として使用します。
オリジンが VPC 内にある場合は、CloudFront IP アドレス範囲を追加して、CloudFront からの受信トラフィックを許可するセキュリティグループルールを設定します。

プライベートオリジン

プライベートオリジンの場合は、新規または既存のディストリビューション用の VPC オリジンを作成します。詳細については、「VPC オリジンを使用したアクセス制限」を参照してください。

カスタムオリジンアクセスエラー

CloudFront 経由でカスタムオリジンにアクセスしようとしたときに "HTTP 503 status code" または "OriginDnsError" エラーが表示される場合は、以下を確認してください。

カスタムオリジンまたは VPC オリジンを使用する場合は、オリジンレスポンスタイムアウト設定を確認してください。値が低すぎると、CloudFront はオリジンからの応答を受け取る前にタイムアウトします。詳細については、「応答タイムアウト」を参照してください。
[オリジンプロトコルポリシー] フィールドが、オリジンサーバーが使用するプロトコルと一致することを確認してください。CloudFront の [オリジンプロトコルポリシー] フィールドとオリジンが一致しないと、URL が変更され、アクセスの問題が発生する可能性があります。
オリジンリクエストにカスタムヘッダーを追加するように CloudFront を設定した場合は、ヘッダー名と値の設定が正しいことを確認します。設定で、CloudFront がオリジンリクエストに追加できないカスタムヘッダーを使用していないことを確認してください。