ページの配信と権限を試す

構成を声に出して読む

利用者のブラウザーが要求し、CloudFrontが受け、必要ならS3から元のデータを取ります。この元の場所をオリジンと呼びます。

図は一つの静的ページに絞った例です。実際にはDNS、暗号化された接続、キャッシュの設定なども関係します。

まだ表示なし

コピーなし

index.html を保存

コピーがあれば元データを取りに行かない

二回目はS3への取得が省かれました。これは有効なコピーがあるという条件付きです。常に最新の内容が即座に届く、と考えないようにします。

S3にはCloudFrontから取得させる構成を使えます。実設定ではOAC（オリジンへのアクセス制御）などを使い、バケットを誰にでも公開する方法と区別します。

IAMは操作の許可を管理する

IAMは利用者やプログラムの権限を管理します。ロールは、必要な権限を引き受けるための役割です。ポリシーは、許可などを記述するルールです。

下の例はIAMの考え方を簡略化しています。実際の判定には複数のポリシーや明示的な拒否も関わり、チェック一つでアクセスできるわけではありません。

配信用の役割

許可なし

まだ要求なし

拒否されたら見るところ

AccessDeniedは、操作が許されなかったという意味です。誰として操作したか、何をしたか、どのデータを対象にしたかを確認します。

とりあえず管理者権限にするのではなく、必要な操作と対象を絞ります。人の利用には一時的な認証情報と多要素認証、プログラムにはロールを使う設計を検討します。

多要素認証は、パスワードに加えて別の確認方法を使うことです。アカウント全体を管理するルートユーザーを日常作業に使わず、秘密のキーを記事やGitに貼りません。

次に確認すること

権限が正しくても料金の条件は別です。料金と片付けを読んで、実環境へ進む前の確認項目を整理しましょう。

公式資料と確認日

確認日：2026年10月31日。図解は学習用に簡略化しています。

• CloudFrontの配信の流れ
• S3へのアクセス制御
• IAMの推奨事項