AWS 14：Route 53 と HTTPS ― 覚えやすい名前と、鍵のかかった通信

IP アドレスは電話番号、DNS は電話帳

インターネットにつながった機械どうしは、IP アドレスという数字の住所で相手を指定して通信します（第5章）。203.0.113.10 のような形です。

でも、人は数字の並びを覚えるのが苦手です。そこで、覚えやすい名前（ドメイン名）を付け、必要なときに数字に直します。この「名前 → 数字」の変換をする仕組みが DNS（Domain Name System）です。

スマートフォンで「山田さん」を押すと、裏で電話番号が引かれて電話がかかります。同じように、ブラウザに example.com と打つと、裏で DNS が IP アドレスを調べ、その住所のサーバーにつなぎます。

名前と番号を分けておくと、もう1つ良いことがあります。番号が変わっても、電話帳を書き換えれば名前はそのまま使えることです。サーバーを引っ越しても、利用者に配った URL は変わりません。

では、世界中に何億とある名前を、DNS はどうやって調べているのでしょうか。次から、ブラウザが example.com を調べる旅を、図の小包で追います。

名前を調べる旅 ①：ブラウザは、まず「調べる係」に聞く

ブラウザが example.com を開こうとすると、まず「example.com の IP アドレスは？」という問い合わせを作ります。図の青い小包です。

ブラウザ（とパソコン）は、この問い合わせを自分で世界中に聞いて回ることはしません。リゾルバーと呼ばれる「調べる係」に丸投げします。

リゾルバーは、最近調べた答えを覚えています。誰かが少し前に同じ名前を聞いていれば、すぐに答えを返せます。覚えていなければ、次の旅に出ます。

ちなみに、AWS の VPC の中のサーバーも、同じようにリゾルバーを使います。VPC には AWS が用意したリゾルバーがあり、第13章の RDS のエンドポイントのような名前も、ここで IP アドレスに直されています。

名前を調べる旅 ②：リゾルバーは、上から順にたずね歩く

リゾルバーは、図の番号の順に聞いて回ります。

DNS は、世界中の名前を1か所で持っているのではありません。右端の区画ごとに係が分かれていて、下の区画の係を紹介していく仕組みです。これを委任と呼びます。

最後に本当の答えを持っている係を、権威ある名前サーバーと呼びます。あなたのドメインについては、あなたが設定した Route 53 がこの係になります。

ここが大事なところです。1の「ルート」と2の「.com の係」は世界共通のもので、あなたが触ることはありません。あなたが作って管理するのは、3の Route 53 の中身だけです。そして、2の「.com の係」に「example.com は Route 53 に聞いて」と紹介してもらうための手続きが、この後の「名前サーバーの登録」です。

名前を調べる旅 ③：答えを持ち帰り、しばらく覚えておく

Route 53 の答え（緑の小包）は、リゾルバーを経由してブラウザに届きます。ブラウザは教わった IP アドレス、つまり ALB につなぎます。

旅は毎回するわけではありません。答えには TTL（Time To Live、生きていてよい時間）という数字が付いていて、リゾルバーやブラウザはその秒数のあいだ答えを覚えておきます。

これで DNS は、世界中から膨大な問い合わせが来ても耐えられます。一方で、Route 53 の中身を書き換えても、TTL が過ぎるまでは古い答えを使う人がいる、ということでもあります。これは後で「引っ越し」のときに大事になります。

まとめると、名前を調べる旅はこうでした。

次は、その「電話帳」を作るために、まずドメインを手に入れる話です。

ドメイン名は、右から左へ大きい順に読む

www.example.com という名前は、右から左へ読みます。住所を「日本・東京都・千代田区」と大きい順に読むのと同じで、右ほど大きな区画です。

ドメイン名は、登録事業者（レジストラ）から買います。正確には「買う」というより、1年ごとに料金を払って借り続けるものです。Route 53 自身も登録事業者として、ドメインの登録を受け付けています。

ドメインを持っていない場合は、Route 53 の「ドメインを登録」から探して買えます。すでに他の会社で持っている場合も、そのまま使えます（次で説明します）。

ホストゾーン：あなたのドメインの「電話帳」

Route 53 で、あなたのドメインの電話帳にあたるものをホストゾーンと呼びます。example.com のホストゾーンを作ると、中にレコード（電話帳の1行）を書いていけます。

ホストゾーンを作ると、Route 53 は名前サーバーを4つ割り当てます。ns-123.awsdns-45.com のような名前で、ホストゾーンの中に NS レコードとして自動で書かれます。この4つが、旅の3番目に出てきた「あなたのドメインの係」です。

あとは、.com の係に「example.com の係はこの4つです」と伝えれば、世界中から引けるようになります。これは登録事業者を通して行います。

図の左の板がホストゾーンの中身の例です。NS のほかに、ALB を指す行や、www を指す行が並んでいます。

名前サーバーを書き換えた直後は、古い情報が各地のリゾルバーに残っていることがあります（TTL）。切り替わるまで時間がかかることがあるので、落ち着いて待ちます。

レコード：電話帳の1行。種類ごとに役割が違う

ホストゾーンには、種類の違うレコードを書きます。よく使うものを並べます。

レコードは「名前・種類・値・TTL」の4つで1行です。

この中で、AWS で構成を作るときにいちばん大事なのがエイリアスです。なぜふつうの A レコードではだめなのかを、次に見ます。

エイリアス：変わり続ける ALB の住所を、名前ごと指す

ALB（第11章）には、決まった IP アドレスがありません。混んでくると AWS が裏で台数を増やしたり、機械を入れ替えたりするため、IP アドレスは AWS の都合で増えたり変わったりします。図の右の3つの札がその様子です。

だから、A レコードに ALB の IP アドレスを数字で書くと、ある日突然つながらなくなります。ALB は必ず名前で指す必要があります。

名前で指すなら CNAME がありますが、DNS には1つ決まりがあります。

そこで Route 53 にはエイリアスという独自のレコードがあります。

AWS の部品を指すなら、迷わずエイリアスを選びます。

TTL：答えを覚えておく時間。変える前には短くしておく

旅の③で見た TTL は、長ければ良い、短ければ良い、というものではありません。

ふだんは長めでも困りません。困るのは行き先を変えるときです。

たとえば、別の ALB に引っ越すとき、TTL が1日のままレコードを書き換えると、最長1日のあいだ、一部の利用者は古い ALB につなぎ続けます。そこで次の手順にします。

なお、エイリアスでは TTL を自分で決めません。指す先（ALB など）に合わせた値が使われます。

ここまでで「名前」はそろいました。次は「鍵」です。

http:// の通信は、はがきと同じ。途中の誰でも読める

HTTP は、ブラウザとサーバーが Web の内容をやり取りするときの決まり事です。http:// で始まる URL は、この決まりでそのまま通信します。

インターネットの通信は、あなたのサーバーに届くまでに、Wi-Fi の機械、回線の会社の機械など、たくさんの機械を経由します。HTTP の通信は暗号化されていないので、途中の機械からは中身がそのまま見えます。はがきと同じです。

図では、カフェの Wi-Fi でログインしたときの小包に、パスワード（たとえば password=hana87）が書かれたまま流れています。同じ Wi-Fi にいる悪意のある人は、これを読めます。

今のブラウザは、HTTP のサイトに「保護されていない通信」と表示します。ログインや写真の投稿がある以上、フォトログは全部の通信を暗号化する必要があります。

HTTPS：暗号化して、相手が本物かも確かめる

HTTPS は、HTTP を TLS という仕組みで包んだものです。https:// で始まる URL は、この方法で通信しています。

TLS は3つのことをします。

暗号化は、ブラウザとサーバーが最初に鍵を安全に決めてから始まります。その鍵を決める手順の中で、サーバーは自分の証明書を差し出します。

図の錠前は、ブラウザから ALB までの区間に鍵がかかっていることを表しています。ブラウザのアドレス欄に鍵のマークが出ているのが、この状態です。

大事なのは、暗号化だけでは足りないという点です。相手が偽物なら、偽物と暗号で話すことになるからです。だから「相手が本物か」を確かめる証明書が、HTTPS の要になります。次に、証明書とは何かを見ます。

証明書：「この名前の持ち主です」と、信頼できる機関が保証した身分証

証明書（サーバー証明書）は、Web サイトの身分証です。図の左のような項目が書かれています。

認証局は、「本当にこの名前の持ち主か」を確かめてから証明書を発行する機関です。ブラウザや OS には、信頼できる認証局の一覧が最初から入っています。

ブラウザは、証明書を受け取ると、図の右の3つを確かめます。

1つでも合わないと、ブラウザは大きな警告画面を出して止めます。利用者の多くはそこで去ります。特に期限切れは、ある日突然サイト全体が警告画面になる、よくある事故です。

昔は、証明書を買い、期限のたびに更新作業をするのが手間でした。AWS ではこれを ACM に任せられます。

ACM：証明書を無料で発行し、期限前に自動で更新する

ACM（AWS Certificate Manager）は、証明書を発行・更新してくれるサービスです。

発行の流れは図の番号の順です。

DNS に指定の1行を置けるのは、そのドメインの持ち主だけです。だから、それで持ち主の確認になります。

有効期間が短くなっても、自動で更新されるなら手間は増えません。確認用の CNAME を消さないことだけ覚えておいてください。消すと、ある日更新に失敗し、期限切れの事故になります。

ALB に証明書を付け、443番で HTTPS を受ける

証明書ができたら、ALB に付けます。

ポート（第8章）の番号は、HTTP が 80番、HTTPS が 443番と決まっています。ALB に443番のリスナー（第11章の「受付の窓口」）を足し、ACM の証明書を選びます。

図のように、暗号は ALB でほどきます。ALB から VPC の中の Web サーバーへは、ふつうの HTTP で渡します。これを TLS の終端を ALB に置く、と言います。

VPC の中は外から入れないように作ってある（第6・8章）ので、ここを HTTP にするのが一般的です。規則などで「中まで全部暗号化」が求められる場合は、ALB から Web サーバーへも HTTPS にできます。

http:// で来た人は、https:// へ案内し直す

443番を作っても、利用者が http://example.com と打ったり、古いリンクから来たりすると、80番に届きます。そのとき、中身を返してはいけません。https へ案内し直すだけにします。

図の番号の順に動きます。

301 は「恒久的に移動しました」という意味の答えです。ALB のリスナーには「転送（リダイレクト）」という動作があり、80番の既定の動作を「443番の HTTPS へ転送、301」にするだけで設定できます。アプリの変更は要りません。

さらに一歩進めると、アプリの応答に HSTS という印（Strict-Transport-Security）を付けられます。一度 HTTPS で来たブラウザに「次からは最初から https で来て」と覚えさせるもので、最初の http の1回すら通らなくなります。

作り方：6つの手順で、名前と鍵が付く

図の番号の順に作ります。順番には理由があります。証明書の発行には DNS が要り、HTTPS の設定には証明書が要るからです。

証明書を CLI で頼む場合は次のようになります。

aws acm request-certificate \
  --domain-name example.com \
  --subject-alternative-names www.example.com \
  --validation-method DNS

最後に、ブラウザで確かめます。https://example.com で鍵のマークが出ること、http://example.com が https:// に変わること、証明書の名前と期限が正しいことを見ます。

Route 53 は「どこへ案内するか」も選べる

Route 53 は、ただ答えを返すだけでなく、誰に・どの答えを返すかを選べます。これをルーティングポリシーと呼びます。

フェイルオーバーを支えるのがヘルスチェックです。Route 53 が世界の複数の場所から定期的に相手を叩き、答えが返らなければ「不調」と判断して、案内から外します。

第11章の ALB のヘルスチェックとの違いに注意してください。

大きな単位の故障に備えるのが Route 53、1台の故障に備えるのが ALB、という分担です。

フォトログでは：3行のレコードで入口がそろう

フォトログの example.com のホストゾーンには、次の行を書きます。

img.example.com は、次の第15章で作る写真の配信の入口です。先に名前だけ決めておきます。

証明書は、ALB 用には example.com と www.example.com の2つの名前を入れて1枚作ります。1枚の証明書に複数の名前を入れられます。

注意が1つあります。第15章で使う CloudFront 用の証明書だけは、バージニア北部（us-east-1）リージョンで作る決まりがあります。CloudFront は世界中に配る仕組みなので、証明書を1か所で受け取るためです。東京で作った証明書は CloudFront の画面で選べません。

これで、利用者は https://example.com でフォトログを開けるようになりました。

お金：ドメインは年ごと、ホストゾーンは月ごと、問い合わせは回数

この章の部品の料金は、主に次のとおりです。

この章の部品は、全体の中ではかなり安い部類です。ただし、ホストゾーンの料金は月の途中で消しても日割りにならないので、練習で作ったものは12時間以内に消すと無駄がありません。

単価は料金ページで確かめてください。

よくある落とし穴

DNS と証明書の事故は、「ある日突然、全員がつながらない」という形で出るのが特徴です。

もう1つ、同じドメインのホストゾーンを2つ作ってしまう事故もあります。作り直したつもりで古いほうが残っていると、登録事業者が指している名前サーバーと、あなたが編集しているホストゾーンが食い違い、「書いたのに反映されない」になります。NS の4つが一致しているかで見分けます。

片付け：レコード → 証明書 → ホストゾーン の順に消す

使われているものは消せないので、外側から順に外します。

ドメインをどうするかは、別に考えます。

ヘルスチェックを作った場合は、それも消します。残すと月ごとの料金がかかり続けます。

最後に、https://example.com を開いてつながらないこと（残すならつながること）、翌日の請求で Route 53 の料金を確かめます。