AWS WAF・CloudFront・Lambda@Edgeでエッジコンピューティングを活用したアプリケーション最適化

// AWS マネージドルール - コアルールセット (一般的な脆弱性対策)
rule {
  name     = "AWS-AWSManagedRulesCommonRuleSet"
  priority = 0
 
  override_action {
    none {}
  }
 
  statement {
    managed_rule_group_statement {
      name        = "AWSManagedRulesCommonRuleSet"
      vendor_name = "AWS"
    }
  }
}
 
// AWS マネージドルール - 既知の悪意のある入力
rule {
  name     = "AWS-AWSManagedRulesKnownBadInputsRuleSet"
  priority = 1
 
  statement {
    managed_rule_group_statement {
      name        = "AWSManagedRulesKnownBadInputsRuleSet"
      vendor_name = "AWS"
    }
  }
}
 
// AWS マネージドルール - Amazon IP評判リスト
rule {
  name     = "AWS-AWSManagedRulesAmazonIpReputationList"
  priority = 2
 
  statement {
    managed_rule_group_statement {
      name        = "AWSManagedRulesAmazonIpReputationList"
      vendor_name = "AWS"
    }
  }
}

// レートベース制限 - DDoS対策
rule {
  name     = "RateBasedRule"
  priority = 3
 
  action {
    block {}
  }
 
  statement {
    rate_based_statement {
      limit              = 1000
      aggregate_key_type = "IP"
    }
  }
}

resource "aws_cloudfront_distribution" "example_asset_distribution" {
  origin {
    domain_name              = aws_s3_bucket.assets.bucket_regional_domain_name
    origin_id                = local.example_asset_origin_id
    origin_access_control_id = aws_cloudfront_origin_access_control.example_asset_oac.id
  }
 
  enabled         = true
  is_ipv6_enabled = true
  comment         = "Example Asset Distribution"
  price_class     = "PriceClass_200"
 
  aliases = ["assets.example.com"]
 
  web_acl_id = aws_wafv2_web_acl.example_cloudfront_acl.arn
}

// URL署名検証処理
async function validateSignedUrl(request, headers, params, clientIP) {
    // 許可IP以外は署名検証が必須
    const isAllowedIP = clientIP && isIPAllowed(clientIP);
 
    if (!isAllowedIP) {
        // 署名パラメータが不足している場合は403エラー
        if (!params.signature || !params.expires) {
            return createForbiddenResponse('Access Denied: Signed URL required');
        }
 
        try {
            // 完全なURLを構築（署名対象のベースURL）
            const host = headers.host[0].value;
            const baseUrl = `https://${host}${request.uri}`;
 
            // KMS署名検証
            const isValidSignature = await verifySignedUrl(
                baseUrl,
                params.signature,
                params.expires
            );
 
            if (!isValidSignature) {
                // 署名が無効な場合は403エラーを返す
                return createForbiddenResponse('Access Denied: Invalid signature');
            }
 
        } catch (error) {
            console.error('Signed URL verification failed:', error);
            return createServerErrorResponse();
        }
    }
 
    // 署名パラメータをクエリから削除（後続処理のため）
    if (params.signature || params.expires) {
        delete params.signature;
        delete params.expires;
        request.querystring = querystring.stringify(params);
    }
 
    return null;
}
 
// サイズパラメータ処理とパス変換
function processImageResize(request, headers, params) {
    // 元の画像URIを取得
    let fwdUri = request.uri;
 
    // サイズパターンが指定されていない場合はオリジナル画像を要求
    if (!params.size) {
        delete request.querystring;
        return { shouldReturn: true, request };
    }
 
    // 指定されたサイズパターンが有効かチェック
    const sizePattern = params.size.toLowerCase();
    const width = variables.sizePatterns[sizePattern];
 
    // 有効なサイズパターンでない場合はオリジナル画像を要求
    if (!width) {
        delete request.querystring;
        return { shouldReturn: true, request };
    }
 
    // Acceptヘッダーを読み取り、WebPサポートを確認
    let accept = headers['accept'] ? headers['accept'][0].value : '';
    let format = accept.includes(variables.webpExtension) ? 'webp' : 'original';
 
    // リサイズ画像のパスを構築
    let resizedUri = '/resized';
    resizedUri += `/${width}x0`; // 幅のみ指定、高さは0でアスペクト比維持
    resizedUri += `/${format}`;
 
    // `/uploads`プレフィックスを処理
    if (fwdUri.startsWith('/uploads')) {
        resizedUri += fwdUri.substring('/uploads'.length);
    } else {
        resizedUri += fwdUri;
    }
 
    // 最終的な転送先URIを設定
    request.uri = resizedUri;
    delete request.querystring;
 
    return { shouldReturn: false, request };
}

// 403/404のレスポンスの場合のみリサイズ処理を実行
if (response.status === '403' || response.status === '404') {
    // パスを解析してサイズと元画像パスを取得
    const regex = /^\/resized\/(\d+)x(\d+)(?:\/([^\/]+))?(.+)$/;
    const match = uri.match(regex);
 
    if (!match) {
        callback(null, response);
        return;
    }
 
    const width = parseInt(match[1], 10);
    const height = parseInt(match[2], 10);
    const formatPath = match[3]; // webpなどのフォーマット
    const originalPath = match[4]; // オリジナル画像の完全なパス
 
    try {
        // オリジナル画像をS3から取得
        const getCommand = new GetObjectCommand({
            Bucket: ORIGINAL_BUCKET,
            Key: originalKey
        });
        const originalImageResponse = await s3Client.send(getCommand);
 
        // 画像をリサイズ
        let resizedImage = Sharp(originalImage).resize({ width: width });
        const buffer = await resizedImage.toBuffer();
 
        // リサイズした画像をS3にアップロード
        const putCommand = new PutObjectCommand({
            Body: buffer,
            Bucket: RESIZED_BUCKET,
            Key: resizedKey,
            ContentType: contentType,
            CacheControl: 'max-age=31536000'
        });
 
        await s3Client.send(putCommand);
 
        // 成功したら301リダイレクトを返す
        const baseUrl = `https://${CLOUDFRONT_DOMAIN}${uri}`;
        const signedUrl = await signUrl(baseUrl, KMS_KEY_ALIAS);
 
        response.status = '301';
        response.statusDescription = 'Moved Permanently';
        response.headers['location'] = [{ key: 'Location', value: signedUrl }];
        response.headers['cache-control'] = [{ key: 'Cache-Control', value: 'max-age=31536000' }];
 
        callback(null, response);
    } catch (error) {
        console.error('Error processing image:', error);
        // エラー処理...
    }
}

resource "aws_lambda_function" "image_resize_viewer_request_handler" {
  provider = aws.us_east_1
 
  function_name = "image-resize-viewer-request-handler"
  role          = aws_iam_role.image_resize_handler.arn
  runtime       = "nodejs22.x"
  handler       = "index.handler"
  architectures = ["x86_64"]
 
  timeout     = 5
  memory_size = 128
  publish     = true
}
 
resource "aws_lambda_function" "image_resize_origin_response_handler" {
  provider = aws.us_east_1
 
  function_name = "image-resize-origin-response-handler"
  role          = aws_iam_role.image_resize_handler.arn
  runtime       = "nodejs22.x"
  handler       = "index.handler"
  architectures = ["x86_64"]
 
  timeout     = 30
  memory_size = 128
  publish     = true
}