[AWS] CloudFront 와 Route53 를 통해 S3 개인 도메인에 HTTPS 적용하기

---

🔥 들어가기 앞서

해당 포스팅에는 S3 도메인에 HTTPS 를 설정하는것을 목표로하며 이를 위해 CloudFront 를 사용한다. 하지만 CloudFront 를 통해 S3 에 HTTPS 를 설정하려면 인증서가 필요한데 이 인증서가 Region 이 미국 동부(버지니아) 인 사용자만 사용할 수 있다는 것이다. 따라서 S3 버킷이 버지니아 에 위치해있고 퍼블릭 액세스 허용으로 되어있어야 한다.

---

🔥 Certificate Manager 에 인증서 요청

첫번째로 Certificate Manager 에 들어가서 인증서를 요청해준다. 다시한번 말하지만 현재 버지니아 북부 여야 한다.

퍼블릿 인증서 요청을 눌러준 다음

인증서에 하나 이상의 도메인 이름을 제공해준다. 필자는 www.revi1337.com 을 입력하였다.

검증 방법과 키 알고리즘은 그대로 두고 인증서 요청을 완료해준다.

인증서 요청을 완료하고나면 검증 대기중 이라는 상태가 뜨게되는데 여기서 Route 53 에서 레코드 생성 를 눌러 레코드를 생성해주면

아래와 같이 상태가 성공이라고 바뀌게 된다.

해당 과정까지가 인증서 요청 과정의 끝이다.

---

🔥 CloudFront 배포

이제 CloudFront 로 이동하여 배포 생성을 눌러준다. 원본 도메인에 S3 를 선택하고 그리고 HTTP 만 해당을 선택해주자. 이 때 웹사이트 엔드포인트를 사용해주어야 한다. 여기서 웹사이트 엔드포인트는 URL 에 s3-website 가 들어가있는 주소를 명시해주어야 정상적으로 동작한다.

ClountFront 를 사용하게 되면 외부망을 통해 들어오는 요청만 HTTPS 로 통신하고 그 뒷단의 EC2 나 S3 에서는 HTTP 를 이용함으로서 EC2 나 S3 는 HTTPS 를 위한 별도의 작업이 필요하지 않다고 한다. 따라서 HTTP 를 선택해준다.

원본 액세스와 Origin Shield 는 공개, 아니오 로 둔다. 참고로 원본 액세스 제어(권장) 를 선택하게 되면 IAM 과 버킷정책을 업데이트 함으로서 S3 버킷 안에 있는 콘텐츠들을 CloudFront 를 통해서만 접근 가능하도록 설정할 수 있다.

경로 패턴 은 어짜피 우리가 수정할 수 없기 때문에 그대로 둔다 . 또한 콘텐츠를 Origin 으로 보낼 때 압축해서 보낼지 아닐지에 대한 여부를 결정하는 자동으로 객체 압축 은 Yes 를 선택해준다. 그리고 뷰어 프로토콜 정책
은 Redirect HTTP to HTTPS 를 선택해준다. 해당 부분을 체크하게 되면 사용자가 HTTP 로 접근했을 때 자동으로 HTTPS 로 리다이렉션시키게 된다. 마지막으로 API 를 요청할때 허용된 HTTP Method 를 지정하는 허용된 HTTP 방법 은 재량에 맞게 생각해주면 된다.

뷰어 액세스 제한에는 No 를 선택해준다. Yes 로 선택하는 경우에는 CloudFront 에 서명된 쿠키 혹은 서명된 URL 를 사용해야한다. 이는 EC2 에 접근할때 PEM 키가 필요한 것과 비슷한 개념이며 이는 액세스 권한을 부여받은 사용자만 콘텐츠에 접근할 수 있게 하는 것이다.

캐시 키 및 원본 요청 를 통해서 캐시 정책 에 대해 설정할 수 있지만 여기서는 모두 디폴트로 둔다.

다음으로 함수 연결. 즉 람다 연결설정이다. 우리는 람다를 사용하지 않고 무엇보다 선택사항이기 때문에 넘어가 준다. 해당 설정을 통해 CloudFront 를 사용할 때 일어날 수 있는 다양한 이벤트 를 통해 CloudFront Functions 및 Lambda@Edge 를 사용 및 트리거 시킬 수 있다.

WAF 는 비활성화 시켜주면 된다.

설정 부분은 좀 중요하다. 가격분류 옵션에 따라 Edge Location 이 전세계에 얼마나 많이 생성될지 정할 수 있다. Edge Location 이 많아지면 액세스 속도는 빨리지는 장점이 있지만 추가요금이 발생할 수 있다는 단점이 있다. 우리는 전 세계 사용자들을 대상으로 서비스할 것이 아니기 때문에 여기서는 적당히 북미, 유럽, 아시아, 중동 만 선택해준다. 또한 이전 원본 설정 에서 원본 도메인에 S3 정적 웹사이트 호스팅 주소를 적어주었기 때문에 대체 도메인 이름(CNAME) 에서는 실제 사용할 사이트의 주소를 입력해준다. 필자는 인증서를 발급할때 명시해주었던 www.revi1337.com 주소를 명시해주었다. 참고로 CNAME 설정은 구매한 도메인이 없어도 CloudFront 에서 임의의 도메인 주소를 생성해주기 때문에 넘어가주어도 된다.

이제 여기가 중요하다. 사용자 정의 SSL 인증서에는 초반에 발급받은 SSL 인증서를 선택해준다. 인증서를 버지니아에서 발급받지않았으면 선택조차 되지 않는다. 그리고 지원되는 HTTP 버전은 더 빠른 네트워크 속도를 위해 HTTP/3 를 선택해준다.

마지막으로 표준로깅은 해제하고 IPv6 는 활성화하고 배포 생성을 눌러주면 CloudFront 까지 배포가 완료된다.

이제 배포된 CloudFront 에 들어가서 배포 도메인 이름 을 확인 후 해당 주소로 접근하면 배포된 CloudFront 에 접근할 수 있다.

하지만 이게 끝이 아니다. 일반 유저가 접속하는 도메인은 결국 Route 53 에 등록된 주소이기 때문에 방금 배포한 CloudFront 주소가 아닌 Route 53 에 등록된 도메인설정 을 작업해주어야 한다.

---

🔥 Route 53 에서 기존 레코드 변경

이제 CloudFront 의 주소가 아닌, 도메인주소를 쳤을때 HTTPS 로 통신할 수 있도록 설정해주어야 한다. AWS 콘솔에서 Route 53 > 호스트 영역 로 넘어가 본인이 생성한 호스팅 영역 을 선택 후 레코드 생성 버튼을 눌러준다.

이제 레코드 이름을 설정해주고 별칭 을 활성화시켜준다. 트래픽 라우팅 대상 에서 CloudFront 배포에 대한 별칭을 선택해주고, 이전에 만든 CloudFront 배포 주소 를 선택해주고 레코드 생성 버튼을 눌러주면 끝이다.

---

🔥 HTTPS 동작 확인

이제 브라우저에서 방금 설정한 도메인주소로 접속해보면 Https 가 잘 동작하는것을 볼 수 있다.

---

🔥 개선할점

사실 잘 동작하지만 아쉬운점이랄까.. 개선해야할 부분이 남아있다. 바로 www 를 치지 않고 revi1337.com 만 입력하면 기대했던 페이지가 나오지않는다는 것이다. 다음에는 해당 부분을 개선해보도록 하자.