AWS WAFがCloudFront向けにJavaScript SDKの自動統合機能を提供開始

AWS WAFは、Amazon CloudFrontディストリビューションで配信されるHTMLに、AWS WAF JavaScript SDKのスクリプトタグを自動的に挿入する機能を提供しました。これにより、Bot Control（ターゲット指定インスペクションレベル）、Fraud Control（ATPおよびACFP）のマネージドルールグループに必要なクライアントサイド信号の収集を、アプリケーションコードの変更やビルドプロセスの修正なしに実現できます。本機能は無料で提供され、コンソール経由で新規作成したWeb ACLではデフォルトで有効になりますが、API/CLI等のプログラム経由で作成した場合はデフォルトで無効となります。

運用負荷の劇的な軽減

これまでBot ControlやFraud Controlを高度に活用する場合、全ページへのSDKタグ埋め込みという泥臭い作業が必要でした。特に、CMSなどでページが自動生成される環境や、多数のマイクロサービスを運用している現場では、タグの漏れによる検知精度の低下が慢性的な課題となっていました。今回の自動統合により、インフラ側（CloudFront/WAF）の設定だけで完結するため、開発チームの手を煩わせることなくセキュリティレベルを底上げできます。

日本国内での利用について

リサーチの結果、東京（ap-northeast-1）および大阪（ap-northeast-3）リージョンにおける制限に関する明記はありません。CloudFrontおよびAWS WAFが利用可能な環境であれば、国内リージョンからでも問題なく適用可能です。

実務上の注意点とアドバイス

• CSP（Content Security Policy）の更新: SDKが自動挿入されるため、CSPを厳格に運用している場合は、SDKのドメインを許可リストに追加する必要があります。ここを忘れるとブラウザ側でブロックされ、機能しません。
• デフォルト設定の差異: コンソール作成時は「ON」、IaC（CDK/CloudFormation等）作成時は「OFF」という挙動の違いがあります。TerraformやCDKで管理している場合は、明示的に設定を定義することをお勧めします。
• コスト: 機能自体の追加料金はありませんが、SDK導入によってBot Control等のルールグループの課金体系（特にターゲット指定レベル）が適用される点には留意してください。

次のアクション

まずは、ステージング環境のWeb ACLで自動統合を有効化し、ブラウザのデベロッパーツールでSDKタグが正しく挿入されているか、およびCSP違反が発生していないかを確認してください。

参照ドキュメント

• Automatic SDK integration for CloudFront distributions (AWS WAF Developer Guide) https://docs.aws.amazon.com/waf/latest/developerguide/waf-challenge-javascript-sdk-injection.html