CloudFrontがS3 MRAP向けOACをネイティブサポート、Lambda@Edge不要に

2026年8月20日発表：Amazon CloudFrontがAmazon S3 Multi-Region Access Points (MRAP)向けのOrigin Access Control (OAC)をネイティブサポートしました。これにより、CloudFrontディストリビューションからのリクエストのみを許可するセキュアな構成が可能となり、従来必要だったLambda@EdgeによるSigV4a署名ヘッダーのカスタム実装が不要になりました。

主な変更点：

• CloudFrontがS3 MRAPへのリクエストに対してネイティブに署名を付与
• キャッシュミス時の最寄りリージョンからの高速なコンテンツ取得が可能
• OACによるアクセス制御でセキュリティを強化

この機能はCloudFront Chinaリージョンを除く全リージョンで利用可能です。追加料金は発生しません。設定はCloudFrontコンソール、SDK、CLI、またはCloudFormationを使用して行えます。

エンジニア視点での考察・アドバイス

解決された技術的課題

• Lambda@Edgeの運用負荷：従来はSigV4a署名ヘッダーを生成するためにLambda@Edgeを使用する必要があり、コールドスタートや実行時間の制約、デプロイ管理の複雑さが課題でした。OACネイティブサポートにより、これらの運用負荷が解消されます。
• パフォーマンスの最適化：キャッシュミス時の最寄りリージョンからのコンテンツ取得が自動化され、グローバルユーザーへの応答速度が向上します。
• セキュリティの統一：OACによるアクセス制御が標準化され、S3バケットポリシーの管理が簡素化されます。

日本リージョン（東京/大阪）での利用可否

• CloudFront Chinaリージョンを除く全リージョンで利用可能と公式発表されています。
• 東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）でも利用可能ですが、CloudFrontディストリビューション自体のリージョン制約（例：エッジロケーションの配置）には注意が必要です。
• 注意点：S3 MRAPは複数リージョンにまたがるバケットを使用するため、東京/大阪の両リージョンでバケットをレプリケーションする構成が前提となります。

実務での影響とアドバイス

• コスト：追加料金は発生しませんが、S3 MRAP自体の利用料金（リクエスト数、データ転送量）は発生します。既存のLambda@Edge関連コスト（実行時間、リクエスト数）は削減可能です。
• セキュリティ：OACを有効にすることで、S3バケットポリシーがCloudFrontディストリビューションに限定されるため、不正アクセスのリスクが低減します。ただし、OACの設定ミスによるアクセス遮断に注意しましょう。
• 移行手順：
  1. 既存のLambda@Edge関数を無効化する前に、CloudFrontディストリビューションでOACを設定し、S3 MRAPのバケットポリシーを更新。
  2. テスト環境で動作確認後、本番環境に適用。
  3. Lambda@Edge関数は段階的に削除し、コスト削減を図る。

次のアクション

1. ドキュメント確認：CloudFront Developer Guide - Restricting Access to S3 MRAP を熟読し、OACの設定手順を把握。
2. テスト環境での検証：S3 MRAPとCloudFrontを組み合わせた環境でOACを有効化し、キャッシュミス時の動作やアクセス制御を確認。
3. コストシミュレーション：Lambda@Edgeの実行コストと比較し、移行後のコスト削減効果を試算。

参考ドキュメント

• CloudFront Developer Guide - Restricting Access to S3 MRAP