AWS認定資格 WEB問題集＆徹底解説
デベロッパー–アソシエイト
問題文と選択肢
Amazon CloudFrontがHTTPS通信をサポートできる構成の組み合わせとして、正しいものはどれですか？
- ビューワー（クライアント）とCloudFront間のHTTPS通信、およびCloudFrontとオリジン（バックエンド）間のHTTPS通信、いずれも設定可能である
- ビューワー（クライアント）とCloudFront間のHTTPS通信のみ設定可能であり、CloudFrontとオリジン間はHTTPのみサポートしている
- CloudFrontとオリジン（バックエンド）間のHTTPS通信のみ設定可能であり、ビューワーとCloudFront間はHTTPのみサポートしている
- CloudFrontはHTTPS通信に対応しておらず、すべての通信はHTTPで行われる
A. ビューワー（クライアント）とCloudFront間のHTTPS通信、およびCloudFrontとオリジン（バックエンド）間のHTTPS通信、いずれも設定可能である
CloudFront は 2 種類のプロトコルポリシーを持つ。ビューワープロトコルポリシー（Redirect HTTP to HTTPS / HTTPS Only）でクライアントとエッジ間を HTTPS に強制でき、オリジンプロトコルポリシー（HTTPS Only / Match Viewer）でエッジとオリジン間も HTTPS にできる。
この 2 つを組み合わせることで通信経路全体（エンドツーエンド）で HTTPS を強制でき、独自ドメインの証明書は AWS Certificate Manager（バージニア北部リージョンの ACM）で管理する。
「盗聴・改ざんを防ぐため経路全体で HTTPS」という要件をそのまま満たす正解。
B. ビューワー（クライアント）とCloudFront間のHTTPS通信のみ設定可能であり、CloudFrontとオリジン間はHTTPのみサポートしている
「CloudFront とオリジン間は HTTP のみ」は誤り。オリジンプロトコルポリシーで HTTPS Only を指定できるため、オリジン側の区間も暗号化できる。
この構成のままではエッジ ⇔ オリジン間が平文となり、経路全体での盗聴・改ざん対策という要件を満たせない。
C. CloudFrontとオリジン（バックエンド）間のHTTPS通信のみ設定可能であり、ビューワーとCloudFront間はHTTPのみサポートしている
「ビューワーと CloudFront 間は HTTP のみ」は誤り。ビューワープロトコルポリシーで HTTPS Only または HTTP から HTTPS へのリダイレクトを強制できる。
むしろ最も外部に晒されるクライアント側の区間を HTTPS 化できないという説明自体が、CloudFront の基本機能と矛盾している。
D. CloudFrontはHTTPS通信に対応しておらず、すべての通信はHTTPで行われる
CloudFront が HTTPS に非対応というのは完全な誤り。CloudFront は SSL/TLS 終端、ACM 証明書の関連付け、セキュリティポリシー（TLS バージョン・暗号スイート）の選択に対応している。
デフォルトドメイン（*.cloudfront.net）でも HTTPS が利用でき、独自ドメインでも ACM 証明書で HTTPS を提供できる。
構成図
ビューワー ──HTTPS（ビューワープロトコルポリシー）──▶ CloudFront ──HTTPS（オリジンプロトコルポリシー）──▶ オリジン
CloudFront の HTTPS は前後の両区間で設定できる。前半＝ビューワープロトコルポリシー、後半＝オリジンプロトコルポリシー。
正解への思考ルート
問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。| 要件 | 判断ポイント |
|---|---|
| 通信経路「全体」で HTTPS を強制したい | CloudFront は前段（ビューワー）と後段（オリジン）の両方にプロトコルポリシーを持ち、エンドツーエンドで暗号化できる →選択肢（A）が正解 |
| ビューワー（クライアント）と CloudFront 間の暗号化 | ビューワープロトコルポリシー（HTTPS Only / Redirect HTTP to HTTPS）で強制できる。「HTTP のみ」という説明は誤り →選択肢（C）を消す |
| CloudFront とオリジン（バックエンド）間の暗号化 | オリジンプロトコルポリシー（HTTPS Only / Match Viewer）で強制できる。「HTTP のみ」という説明は誤り →選択肢（B）を消す |
| 独自ドメインで HTTPS を提供する | ACM の証明書（バージニア北部リージョン）を CloudFront に関連付ける。CloudFront が HTTPS 非対応という説明は成り立たない →選択肢（D）を消す |
ひっかけポイント
- 「片側だけ HTTPS」（選択肢 B・C）は、CloudFront の 2 つのプロトコルポリシーのうち片方しか知らない受験者を狙った罠。前後どちらの区間も設定できる
- オリジンプロトコルポリシーの Match Viewer は「ビューワーと同じプロトコルで転送する」設定。ビューワーが HTTP で来ればオリジンへも HTTP になるため、経路全体を強制したいなら HTTPS Only を選ぶ
- 独自ドメインで使う証明書は ACM のバージニア北部（us-east-1）リージョンで発行・インポートしたものに限られる点も頻出（オリジン側の ALB 用証明書は各リージョン）
- 「HTTPS 化＝ビューワー側だけ」という思い込みで選択肢 B を選ばせにくる。エッジ ⇔ オリジン間も公衆インターネットを通り得るため、暗号化の対象になる
出題バリエーション
同じ知識が本番では条件を変えて出題されます。| 問題文がこう変わったら | 正解はこう変わる |
|---|---|
| 「HTTP でアクセスしてきたユーザーも強制的に HTTPS へ誘導したい」 | ビューワープロトコルポリシーの Redirect HTTP to HTTPS（または HTTPS Only）が正解軸に。 |
| 「独自ドメイン（example.com）で HTTPS 配信したい」 | ACM（us-east-1）で証明書を発行し CloudFront に関連付ける＋代替ドメイン名（CNAME）の設定が問われる。 |
| 「オリジンの S3 バケットへの直接アクセスを遮断したい」 | OAC（Origin Access Control）＋バケットポリシーが正解軸に（プロトコルの話ではなくなる）。 |
| 「古い TLS バージョンを拒否したい」 | CloudFront のセキュリティポリシー（最小 TLS バージョン）の選択が正解に。 |
| 「オリジンをビューワーと同じプロトコルで呼び出したい」 | オリジンプロトコルポリシーの Match Viewer が該当（ただし経路全体の HTTPS 強制にはならない）。 |
Amazon CloudFrontがHTTPS通信をサポートできる構成の組み合わせとして、正しいものはどれですか？
- ビューワー（クライアント）とCloudFront間のHTTPS通信、およびCloudFrontとオリジン（バックエンド）間のHTTPS通信、いずれも設定可能である
- ビューワー（クライアント）とCloudFront間のHTTPS通信のみ設定可能であり、CloudFrontとオリジン間はHTTPのみサポートしている
- CloudFrontとオリジン（バックエンド）間のHTTPS通信のみ設定可能であり、ビューワーとCloudFront間はHTTPのみサポートしている
- CloudFrontはHTTPS通信に対応しておらず、すべての通信はHTTPで行われる