CloudFrontでmTLSを使ってみる

Mon, 13 Jul 2026 23:17:07 +0900

よ〜んです。

前回の記事に引き続き、証明書関連の記事です。

今回は CloudFront の viewer mTLS を触ってみました。

CloudFront 側で mTLS を受けれるので「証明書を持っている人だけ入れる」みたいな入口を作れます、なかなか便利そうです。

ソースコードはこちらです。

参考信頼は相互に: Amazon CloudFront が mTLS をサポート | Amazon Web Services ブログ

ソースコード examples/learn-about-mtls at main · mu7889yoon/examples

mTLS(相互TLS)

mTLS は Mutual TLS の略で「サーバーもクライアントも証明書で相手を確認する TLS」です。

普通の HTTPS では、ブラウザがサーバー証明書を確認します。つまり「このサイトは本当にそのサイトなのか？」をクライアント側が検証する感じですね。

一方で mTLS では、サーバー側もクライアント証明書を確認します。

sequenceDiagram
 participant Client as Client
 participant CloudFront as CloudFront
 participant S3 as S3

 Client->>CloudFront: HTTPS request + client certificate
 CloudFront->>CloudFront: Trust Store の CA で検証
 alt valid certificate
 CloudFront->>S3: request index.html
 S3-->>CloudFront: You are able to access it.
 CloudFront-->>Client: 200 OK
 else invalid or missing certificate
 CloudFront-->>Client: reject
 end

今回の検証では、ローカルで CA 証明書とクライアント証明書を作りました。 CloudFront には CA 証明書の bundle を Trust Store として登録して、クライアント証明書がその CA で署名されているかを見てもらう構成です。

Mtls on よ〜んの雑記

CloudFrontでmTLSを使ってみる

mTLS(相互TLS)