![](https://kokosyna-post-bucket-prd.s3.ap-northeast-1.amazonaws.com/c8df4a8e-bb83-49eb-8c85-ce4d75972681.webp)

# はじめに
株式会社ココロザシでインフラエンジニアをしております、江木です。

CloudFrontのドメインにアクセスするユーザーにBasic認証を課す関数をTerraformで自動プロビジョニングするコードを書いてみたら、無事にApplyされることを確認しました。本記事にてサンプルコードを共有致します。

# Basic認証とは
本関数が適用されたCloudFrontにアクセスすると下画像のようにIDとPasswordの入力を求められ、その認証をクリアできるユーザーのみがWebコンテンツを閲覧できるようになります。ついでに、こちらの画像は筆者が作成したコードで展開したCloudFrontディストリビューションによるBasic認証の様子です。

![](https://kokosyna-post-bucket-prd.s3.ap-northeast-1.amazonaws.com/a5d903cf-6892-4d71-b1c0-cb04eca6e0a9.webp)

セキュリティ的にWAFで特定のIPアドレスのみが通過できるようにホワイトリストを作成するのもいいですが、コストのリーズナブルさを求める場合はBasic認証に軍配が上がると筆者は考えます。

本関数が関連づいたCloudFrontを展開する定義コードを作成したい方は、是非今回紹介するサンプルコードをマージ・パラメータ調整の上利用されてみてください。


# サンプルコード紹介

それでは、早速サンプルコードを紹介していきます。


```terraform:variables.tf
# Basic認証で課すIDとPasswordを登録するため、
# 実際の値をそれぞれ該当するvariableブロックに入力します。
variable "AUTHENTICATION_ID" {
  description = "AUTHENTICATION_ID"
  type        = string
  default     = "kokorozashi"
}

variable "AUTHENTICATION_PASSWORD" {
  description = "AUTHENTICATION_PASSWORD"
  type        = string
  default     = "kokosyna2022"
}
```

```terraform:cloudfront_function.tf
# variables.tfで登録したIDとPasswordをdata “external”ブロックに取り込んでbase64化します。
# 本ブロックは与えられた情報にシェルスクリプトで加工かけた上で他のブロックに参照させたいという場合に非常に便利です。
data "external" "BasicAuthentication" {
  program = ["bash", "./shellscript/basic_authentication.sh"]
  query = {
    required = "${var.AUTHENTICATION_ID}:${var.AUTHENTICATION_PASSWORD}"
  }
}

# data “external”ブロックの出力結果を返り値として,
# data “template_file”ブロックが読み込んでBasic認証を課す関数の基となるソースコード内に埋め込みます。
data "template_file" "BasicAuthentication" {
  template = file("./sorce_code/basic_authentication.js")
  vars = {
    TOKEN = "${data.external.BasicAuthentication.result["result"]}"
  }
}

# data “template_file”ブロックで完成したソースコードの情報を取り込んで、CloudFrontに紐付け可能な関数を構築します。
# 本リソースはCloudFrontのディストリビューションを構築する別のresourceブロックから参照することでキャッシュビヘイビアに関連付けが可能です。
resource "aws_cloudfront_function" "BasicAuthentication" {
  name    = "basic_auth_function"
  comment = "BASIC AUTHENTICATION"
  runtime = "cloudfront-js-1.0"
  code    = data.template_file.BasicAuthentication.rendered
  publish = true
}
```

```bash:./shellscript/basic_authentication.tf
#!/bin/bash

set -e

eval "$(jq -r '@sh "REQUIRED=\(.required)"')"

RESULT=$(echo -n "$REQUIRED" | base64)

jq -n --arg result "$RESULT" '{"result":$result}'
```
↑は先述のdata “external”ブロックが実行するシェルスクリプトです。設定したIDとPasswordを基にしてBasic認証に必要な情報を出力してくれます。

```javascript:./sorce_code/basic_authentication.js
function handler(event) {
    var request = event.request;
    var headers = request.headers;
  
    var authString = "Basic ${TOKEN}";
  
    if (
      typeof headers.authorization === "undefined" ||
      headers.authorization.value !== authString
    ) {
      return {
        statusCode: 401,
        statusDescription: "Unauthorized",
        headers: { "www-authenticate": { value: "Basic" } }
      };
    }
  
    return request;
  }
```
↑が実際にBasic認証を課す関数の基となるソースコードです。
筆者は開発系言語は得意領域外なので、詳述は遠慮させていただきます。
ちなみに、このソースコードは本記事のネタも含めて以下のサイトを参考にしました。
[CloudFront FunctionsでBasic認証のパスワードをかける](https://dev.classmethod.jp/articles/apply-basic-authentication-password-with-cloudfront-functions/)


```terraform:output.tf
# Basic認証突破に必要なIDとPasswordをApply成功後に再喝するように、
# それぞれを出力するoutputブロックも定義しておきます。
output "AUTHENTICATION_ID" {
  description = "AUTHENTICATION_ID"
  value       = "${var.AUTHENTICATION_ID}"
}

output "AUTHENTICATION_PASSWORD" {
  description = "AUTHENTICATION_PASSWORD"
  value       = "${var.AUTHENTICATION_PASSWORD}"
}
```
↑TerraformのApply成功後にCloudFrontのディストリビューションドメインかCNAMEも同時に確認できるようにするとより便利だと思います。


ここまででサンプルコードの紹介は終わりです。


# 最後に
今回はある程度Terraformの習熟度がある方向けになってしまいましたが、情報セキュリティの味方になってくれる機能ですので皆さん是非Terraformのコードに取り入れてみてください。

今後はTerraform実行基盤の構築方法や操作方法、基本的なコードの書き方、オーソドックスなリソースのコード化などについて説明していきたいと思います。


# 参考サイト
[terraform の external data source を使って外部コマンドの実行結果を variable として使用する](https://gist.github.com/tkuchiki/f0b804f2bae96e8676e5d86c0ee2bcb8)

[CloudFront FunctionsでBasic認証のパスワードをかける](https://dev.classmethod.jp/articles/apply-basic-authentication-password-with-cloudfront-functions/)

AWS Cloudfront