CloudFront で freenom で取得したドメインによる SSL ディストリビューションを作成する

結構苦労したので備忘録しておきます。

前提
手順
クリーンアップ

前提

ドメインは freenom で取得したものを使用します
- freenom は WHOIS が書き換わらないので、後述する AWS Certificate Manager (ACM) では Email による認証を選択する必要があります。これがクセモノです。

Freenom - 誰でも利用できる名前

ドメインは Route53 に登録済みとします
- ちょっと古いですが、 https://dev.classmethod.jp/articles/mesoko-r53-cdn/ の前半が参考になります
SSL を実現する方法は、ALB や EC2 に Let’s Encrypt する方法でも可能ですが、今回は CloudFront を使用します
- 理由、EC2 で SSL 化するのは怠いなーというのうと、ALB は費用が高いなぁというくらいです

手順

大まかな流れ

まず結論ですが、以下大まかな流れです。

（前提）freenom でドメインを取得し、 Route 53 のホストゾーンに登録
ACM でSSL証明書のリクエストを作成
- 上述の通り、freenom では WHOIS 情報を変更できないので、メール認証で作成する必要があります
- この時点では Email を受信できないので、移行のステップでメール受信するための設定をします
SES にて、取得したドメインを「Verified identities」する
- 対象のドメインを SES で扱えるようにするためかな？なんでこれをやるのかはっきりとした理由はわからないですが、やらないといけないです
Route53 に MX レコードを追加
- これをしないとメールを受け取れません
SES にて、「Email Receiving」の設定を行い、S3バケットでメールを受信できるようにする
- ちょっとトリッキーな感じがしたけど、メールの受信ボックスはS3バケットを使うのがいいみたいです
ACM でSSL証明書のリクエストを再送し、証明書発行できたことを確認する
CloudFront で ACM で作った証明書を使用してSSL化を実現する

ググったら断片的には情報が出てくるのですが、AWS自体のUIが大きく変わっていたりして、情報が追い付いていなかったり、やりたいことと微妙にズレていたりと、この流れを把握すること自体がまぁまぁ苦労しました。

参考にさせてもらったサイト

https://parameter.work/wordpress-aws_domain/
- 全体のざっくりとした流れが把握できました
https://recipe.kc-cloud.jp/archives/11408
- CloudFront で SSL 化する方法
https://note.com/li_oche1021/n/n119792c6c44a
- メール受信の方法を詳細に書いてくれているので助かりました

ACM でSSL証明書のリクエストを作成（バージニア北部）

前置き

AWS では、ACM にてSSL証明書を無料で作成することができます。
Route53 の管理下でないドメインも対象にできたりしますが、ここでは freenom のドメインを Route53 の管理下においている前提で話を進めます。

前述の通り、freenom で取得したドメインは WHOIS を書き換えられないので SSL の証明書を Email 認証にする必要があるのがクセモノです。

本当はこのSSL証明書リクエスト処理は最後の方にやってもいいのですが、説明の都合上、まずリクエスト処理から始めます。

注意：CloudFront にSSL証明書を差し込むためには、「バージニア北部」リージョンでSSL証明書作成をする必要があります。
（参考： https://aws.amazon.com/jp/premiumsupport/knowledge-center/migrate-ssl-cert-us-east/ ）

フロー

リージョンで「バージニア北部」を選択し、「証明書をリクエストする」を押す

「パブリック証明書をリクエスト」を選択する

ドメイン名は、以下の２つを設定する（例：Route53 に登録しているドメインを hoge.com とする）
- *.hoge.com
- hoge.com
「Eメール検証」を選択する
リクエストを作成する

ここまでで、リクエスト作成処理がいったん完了します。
一覧を見てみると、以下のようになっているはずです。この「保留中の検証」状態を「発行済み」にさせるために、以下でEメールの受信設定などをしていく必要があります。

SES にて、取得したドメインを「Verified identities」する（オレゴン）

前置き

上述のメール検証の内容としては、以下のような流れになっています。

指定したドメインの固定アドレス（hoge.comだとするとadmin@hoge.comなど）、認証確認メールが送られてくる
メールに記載されたURLを押し、認証確認を承認する

なので、 admin@hoge.com 宛のメールを受信できるようにする必要があるのですが、とりあえず今の状態では Route53 にホストゾーンを登録しただけで、メールの受信はできないはずです。
なので、SES に受信処理を代行してもらう（更にいうと任意のhoge.com宛メールを受信できるようにする）というのがここからやることになります。

まずは、SESがドメインが正当なものであるという認識をするように設定します。

注意：東京リージョンではEメールの受信に対応していません。とりあえずオレゴンは対応済みだったので、今回はオレゴンを使用しています。

ちなみに現時点でSESは全部英語表記です。地味に辛い・・・