国別アクセス制限を使う前に。CloudFrontで確認したいこと

公開する地域を絞りたいときに

「国内向けサービスなので、公開地域を整理したい」「特定地域への配信を制限する運用が必要になった」。Webサイトを運営していると、アクセス元の地域に応じて配信を変えたい場面があります。

Amazon CloudFrontには、国単位でアクセスを許可・制限する地理制限の機能があります。ただし、設定が簡単に見えても、正規のお客様や取引先に影響する可能性があります。まずは、何のために制限するのかを言葉にするところから始めましょう。

国内向けサイトでも、海外から使われることがある

たとえば、国内のお客様向けサイトでも、海外滞在中のお客様が申し込む場合があります。担当者が出張先で管理画面を開いたり、海外拠点の取引先が資料を確認したりすることもあるでしょう。

また、監視サービスや外部システムとの連携が、海外のサーバーを経由している場合もあります。普段のアクセス数が少ない経路でも、止まると業務に支障が出ることがあります。

「海外からのアクセスがある」という情報だけでは、制限の必要性は決まりません。提供したい相手、業務で必要な接続、問題となっている通信を分けて整理すると、対策を選びやすくなります。

最初に見るのは、設定が届く範囲

CloudFrontの標準の地理制限は、Distributionという配信設定の単位で適用されます。同じ設定で会社のサイト、画像、業務用の画面などを配信している場合、それぞれへの影響を確認する必要があります。AWSの地理制限ガイド

「このページだけ制限したい」ときは、標準の地理制限をそのまま使う方法が目的に合うとは限りません。配信構成を分けるなど、適用範囲に合う設計を先に検討します。

導入前には、対象のドメインやページだけでなく、フォーム送信、ログイン、外部サービスからの通信も洗い出しましょう。許可する国を決める方式と、制限する国を決める方式では、新しい利用地域が増えたときの扱いも変わります。

IPアドレスの判定には、限界がある

地理制限は、接続元のIPアドレスと地域情報を使って判断します。実際に利用している人の国籍や、現在地を確定する機能ではありません。VPNや中継サービスを経由すると、本人がいる場所とは別の地域として扱われることがあります。

AWSは、地域の判定精度が場所によって異なること、所在地を特定できない場合はコンテンツを配信することを説明しています。そのため、特定地域からの通信を完全になくす手段としては扱えません。判定方法と制約

特定の国から来たことだけで、危険なアクセスとも判断できません。不正利用への対策が目的なら、ログイン、権限確認、通信内容に応じた防御なども含めて検討します。

確認は「使える側」と「制限する側」の両方で

変更するときは、次の順番にすると整理しやすくなります。

1. 制限の目的と、利用を続けてもらう相手を確認する
2. 対象の配信設定と、影響する業務を洗い出す
3. 変更前の設定を記録し、戻す条件を決める
4. 反映後、通常利用する地域から主要な操作を試す
5. 制限対象の地域についても、別途動作を確認する
6. 問い合わせや利用状況を見て、必要に応じて見直す

国内でページが表示されたことだけでは、制限対象地域での動作まで確認したことにはなりません。試した地域や操作を記録しておくと、追加で必要な確認が分かります。

さらに、CloudFrontを通らず配信元のサーバーへ直接アクセスできる場合、その経路は別に検討が必要です。配信元の種類に合ったアクセス制御を確認しましょう。配信元への直接アクセスに関するAWSの説明

お客様が困ったときの道筋も用意する

アクセスできなくなった方が相談できる窓口や、社内で設定を戻せる担当者も決めておきます。国別の制限は、事業や利用地域の変化に合わせて見直す運用です。必要な人が使い続けられるかを確かめながら、目的に合う範囲へ整えていきましょう。

よくある質問

一部のページだけに国別制限をかけられますか？

CloudFront標準の地理制限は配信設定単位です。一部だけ条件を変える場合は、配信構成を分けるなど別の設計を検討します。

国別制限だけで不正アクセスを防げますか？

それだけでは防げません。IPアドレスによる地域判定には限界があり、地域と通信の危険性も別の話です。認証や権限管理など、目的に合う対策と組み合わせます。

関連サービス

• AWSサポート
• セキュリティ