Como soluciono problemas de acesso à distribuição do CloudFront com CNAMEs e origens personalizadas?

Resolução

Use as etapas de solução de problemas a seguir para resolver problemas com sua distribuição do CloudFront configurada com CNAMEs ou origens personalizadas.

Observação: o CNAME também é conhecido como um nome de domínio alternativo.

Problemas com o certificado SSL/TLS

Se for possível acessar o conteúdo do URL de distribuição, mas receber erros de SSL/TLS por meio do registro CNAME, isso pode ser um problema de incompatibilidade de certificados. Certifique-se de que o certificado SSL/TLS associado à sua distribuição do CloudFront inclua o registro CNAME.

Se você precisar de uma conexão HTTPS entre uma origem personalizada e sua distribuição do CloudFront, nomes de domínio incompatíveis podem causar erros. Por exemplo, os nomes de domínio não são compatíveis e o handshake SSL/TLS falha. O CloudFront retorna um erro "HTTP status code 502". Para resolver esse problema, consulte Falha de negociação SSL/TLS entre o CloudFront e um servidor de origem personalizado.

Observação: não é possível associar mais de um certificado SSL/TLS a uma distribuição individual do CloudFront. Para obter mais informações, consulte Posso associar vários certificados SSL/TLS à minha distribuição do CloudFront?

Se você usa HTTPS, deve associar um certificado SSL/TLS ao registro CNAME da distribuição do CloudFront. É possível usar o AWS Certificate Manager (ACM) para importar um certificado ou solicitar um certificado público.

Observação: se você tentou excluir um certificado SSL/TLS e recebeu uma mensagem de erro informando que o CloudFront está usando o certificado, verifique seus requisitos de configuração. Para obter mais informações, consulte Mensagem de erro: Certificate: <certificate-id> is being used by CloudFront.

Configuração incorreta do registro CNAME

Certifique-se de que o registro CNAME esteja correto nas configurações de distribuição do CloudFront. Anexe um certificado SSL/TLS válido que inclua o nome de domínio alternativo à distribuição. Você deve usar um nome de domínio totalmente qualificado (fully qualified domain name, FQDN), como www.example.com, ou um nome de domínio alternativo curinga, como *.example.com.

Se você tiver vários registros de domínio, separe-os com vírgulas ou insira cada nome de domínio em uma nova linha. Além disso, certifique-se de que seu registro CNAME aponte para o nome de domínio da sua distribuição em vez do bucket do Amazon Simple Storage Service (Amazon S3). Para obter mais informações, consulte Seu nome de domínio alternativo (CNAME) está configurado corretamente?

Problemas de roteamento DNS

Verifique se a configuração dos seus registros DNS roteia corretamente o tráfego do CNAME para a distribuição do CloudFront. No Amazon Route 53, crie um registro de alias que mapeie o nome do domínio para o nome de domínio da distribuição do CloudFront. Se você recebeu a mensagem "incorrectly configured DNS record error", talvez tenha uma entrada de DNS curinga existente que aponta para sua distribuição. Para obter mais informações, consulte O CloudFront retorna um erro de registro DNS configurado incorretamente quando tento adicionar um novo CNAME.

Erros de acesso negado

É possível receber erros "403 Access Denied" nos seguintes cenários:

• Sua distribuição restringe o acesso a uma origem do Amazon S3. Certifique-se de que a política de bucket conceda as permissões necessárias à Identidade do acesso de origem (OAI) para acessar o bucket do S3. Para obter mais informações, consulte Restringir o acesso a uma origem do Amazon S3.
• Você configurou sua distribuição para retornar respostas de erro personalizadas de uma origem do S3. Certifique-se de que a OAI tenha acesso de leitura ao bucket do S3.
• Você ativou o AWS WAF em sua distribuição. Analise os logs do AWS WAF para verificar se as regras de firewall bloquearam as solicitações.
• Sua distribuição usa um endpoint da API REST do Amazon S3 como nome de domínio de origem. Verifique seus requisitos de configuração. Para obter mais informações, consulte Estou usando um endpoint do S3 API REST como origem de minha distribuição do CloudFront. Por que estou recebendo erros "403 Access Denied" (Acesso negado)?
• Você usa um endpoint de site do Amazon S3 como origem para sua distribuição. Verifique seus requisitos de configuração. Para obter mais informações, consulte Estou usando um endpoint do site do S3 como origem de minha distribuição do CloudFront. Por que estou recebendo erros 403 Access Denied (Acesso negado)?
• Seu perfil ou usuário do AWS Identity and Access Management (AWS IAM) não tem a permissão necessária em um recurso do CloudFront ou tem problemas de credencial incorreta. Verifique suas credenciais e certifique-se de que seu usuário ou perfil do IAM tenha as permissões necessárias.

Falhas na resolução de DNS em origens privadas ou internas

Se você usar um recurso privado ou interno como origem da sua distribuição, a distribuição pode falhar ao resolver o nome DNS da origem. Por exemplo, se você usar um Application Load Balancer ou um recurso privado dentro de uma nuvem privada virtual (VPC) como origem.

Origens públicas

Verifique as seguintes configurações para origens públicas:

• Certifique-se de que a origem tenha acesso à internet. Em Application Load Balancers, altere a configuração do esquema de interno para voltado para a internet. Nos recursos em uma VPC, certifique-se de que a VPC tenha uma rota para a internet.
• Use o nome DNS público como nome de domínio de origem nas suas configurações de distribuição do CloudFront.
• Se sua origem estiver em uma VPC, adicione os intervalos de endereços IP do CloudFront para configurar uma regra de grupo de segurança que permita o tráfego de entrada do CloudFront.

Origens privadas

Em origens privadas, crie uma origem de VPC para uma distribuição nova ou existente. Para obter mais informações, consulte Restringe o acesso com origens de VPC.

Erros de acesso a origens personalizadas

Se você recebeu o erro "HTTP 503 status code" ou "OriginDnsError" ao tentar acessar sua origem personalizada por meio do CloudFront, verifique o seguinte:

• Se você usa uma origem personalizada ou uma origem na VPC, verifique a configuração do tempo limite de resposta da origem. Se o valor for definido como muito baixo, o CloudFront atingirá o tempo limite antes de receber uma resposta da origem. Para obter mais informações, consulte Tempo limite de resposta.
• Certifique-se de que o campo Política de protocolo de origem corresponda ao protocolo que seu servidor de origem usa. As incompatibilidades entre o campo Política de protocolo de origem do CloudFront e a origem podem alterar o URL e causar problemas de acesso.
• Se você configurou o CloudFront para adicionar cabeçalhos personalizados às solicitações de origem, confirme se as configurações de nome e valor do cabeçalho estão corretas. Certifique-se de que sua configuração não use cabeçalhos personalizados que o CloudFront não possa adicionar às solicitações de origem.

Informações relacionadas

Why does my application fail on CloudFront when I can use the application from a custom origin? (Por que minha aplicação falha no CloudFront quando posso usá-la de uma origem personalizada?)

Como faço para aumentar as cotas de tempo limite de resposta e de manutenção de atividade para minha origem personalizada ou de VPC do CloudFront?

Como solucionar problemas de distribuição