オリジンのセキュリティ強化

VPC 内のオリジンで Amazon CloudFront を使用している場合に、CloudFront ディストリビューションのみがリクエストをオリジンに転送できるようにしたいことがあります。Edge-to-Origin リクエストヘッダーを使用すると、CloudFront からオリジンにリクエストを転送する際に、既存のリクエストヘッダーの値への追加または上書きが可能
How to enhance Amazon CloudFront origin security with AWS WAF and AWS Secrets Manager
オリジンアクセス制限用にオリジンカスタムヘッダーの値を自動的にローテーション
CloudFrontディストリビューション
「CloudFront Distribution」とは、AWS CloudFrontサービスを使用する際に特定のコンテンツデリバリーの設定や構成を指す言葉です。
CloudFront Distributionは、特定のオリジン（通常はS3バケット、EC2インスタンス、API Gatewayなど）からデータを取得し、エッジロケーションにキャッシュします。
CloudFront Distributionを設定することで、コンテンツの配信設定、キャッシュコントロール、セキュリティポリシーなどを定義できます。

Secret Managerにランダムな文字列を格納
自動シークレットローテーションのためのLambdaを作成
オリジンリクエストのカスタムHTTPヘッダーとしてランダムな文字列を注入するためのcloudfront
カスタムヘッダの文字列の一致ルールを持つAWS WAFウェブACLルールを作成
Web ACLをALBに関連付ける

S3費用対効果

オブジェクトロック

削除または上書きされることを一定期間防止
- モード
- コンプライアンスモード
- もう何をやっても削除できない
- ガバナンスモード
- 特定の権限を持っている場合、削除可能

バナンスモードのリテンション設定を上書きまたは削除するには、ユーザーは s3:BypassGovernanceRetention アクセス許可を持っている必要があり、また、ガバナンスモードの上書きを必要とするリクエストで、x-amz-bypass-governance-retention:true を要求ヘッダーとして明示的に含める必要があります

ガバナンスモードでオブジェクトロックの削除・上書きを禁止

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "s3:BypassGovernanceRetention"
            ],
            "Resource": "*"
        }
    ]
}

バージョニング
- 目的 : 意図しないユーザーアクションからもアプリ障害からもより簡単に復旧する

オリジンのセキュリティ強化

S3費用対効果

オブジェクトロック

SSM, WAF, Shield, Cloudfront

Step function ⇔ DynamoDB

DAX

フェデレーションを使用したSSO

RAM

AWS Cost and Usage Report (CUR)

SSHアクセス

Savings Plans

S3 403 Acccess Denied

SCPで制限

S3

S3 Transfer Acceleration

S3 Replication Time Control

S3アクセスポイント

S3 prefix

RDS

Service Catalog

AWS Network Firewall

SCTとDMSを用いたDB移行

Aurora

DHCP Options Set (VPC)