【CloudFront mTLS】エッジでの検証をスキップ！「パススルーモード」登場で既存の認証インフラがそのまま使える！

Amazon CloudFront は、ビューワー相互 TLS (mTLS) において、クライアント証明書をオリジンへそのまま転送する「パススルーモード」の提供を開始しました。これにより、CloudFront 側でトラストストアの構成を行わずとも、既存のオリジン側での証明書検証ロジックを活用できるようになります。なお、パススルーモード利用時はキャッシュが無効化され、すべてのリクエストがオリジンへ転送されます。

💡 エンジニアの視点：mTLS 運用が激変する？

これまで CloudFront で mTLS を利用する場合、エッジ側で証明書検証を行うためにトラストストアの設定が必要でしたが、これが運用負荷の大きな壁となっていました。今回の「パススルーモード」は、まさに**「既存の認証ロジックをそのまま持ち込める」**という、現場のエンジニアにとって非常に強力な解決策です。

✅ ここがポイント！

• 既存資産の活用: すでに ALB やオンプレミスで mTLS 実装が完了しているなら、CloudFront 導入時に検証ロジックを再実装する必要がありません。
• 運用コストの削減: エッジ側でのトラストストア管理（証明書更新の同期など）から解放されます。
• 厳格なセキュリティ: キャッシュが効かない代わりに、エンドツーエンドでオリジンが直接検証を行うため、動的な制御が容易です。

🇯🇵 日本国内の利用状況

最新のリージョン状況を公式ドキュメントで確認したところ、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) を含むグローバル展開されており、日本国内からの利用も全く問題ありません！

⚠️ 実装時の注意点（ここが落とし穴！）

パススルーモードは強力ですが、いくつか重要な制約があります。ここを間違えると動かないので注意してください！

• キャッシュ禁止: キャッシュビヘイビアは CachingDisabled 設定が必須です。キャッシュは利用できません。
• プロトコル制限: HTTP/2 が必須ですが、HTTP/3 は現在未対応です。
• Origin Shield 禁止: Origin Shield も使用できません。
• コスト: モード自体の追加料金はありませんが、キャッシュが効かないため、オリジンの負荷が増大する可能性があります。

🚀 次のアクション

まずは、既存の mTLS 環境を持つオリジンに対し、CloudFront を前段に置く際の影響範囲（特にオリジンの負荷と HTTP/2 の利用）を調査することをお勧めします！

参照ドキュメント: Additional validation modes (Passthrough, Optional, Required)