CloudFront

Amazon CloudFront คือ Content Delivery Network (CDN) ของ AWS ที่ช่วย cache เนื้อหา ไว้ที่จุดใกล้ผู้ใช้ทั่วโลก ทำให้ read latency ต่ำลงและเพิ่มประสบการณ์ผู้ใช้ ปัจจุบัน CloudFront มี edge locations มากกว่า 200+ จุด ทั่วโลก

หลักการทำงาน: ผู้ใช้ขอเนื้อหา -> request ไปยัง edge location ที่ใกล้ที่สุด -> ถ้ามีใน cache (cache hit) ส่งกลับทันที -> ถ้าไม่มี (cache miss) edge จะดึงจาก origin มา cache ไว้แล้วส่งกลับ

• DDoS protection ในตัว (ผสานกับ AWS Shield และ AWS WAF)
• ช่วย ลด load ที่ origin เพราะ cache ที่ edge
• รองรับ HTTPS และ custom SSL certificate
• ต่างจาก S3 Cross-Region Replication: CloudFront cache แบบ global มี TTL ส่วน CRR replicate ถาวรในไม่กี่ region

Origin คือแหล่งเนื้อหาต้นทางที่ CloudFront ดึงมา cache โดย CloudFront รองรับ origin ได้หลายประเภท ทั้ง static content จาก S3 และ dynamic content จาก HTTP backend

OAC vs OAI (สำคัญมาก)

Origin Access Control (OAC) คือวิธี ใหม่ที่ AWS แนะนำ ในปัจจุบัน ทดแทน Origin Access Identity (OAI) ซึ่งเป็น legacy ทั้งคู่มีเป้าหมายเดียวกันคือล็อก S3 ให้เข้าถึงได้ผ่าน CloudFront เท่านั้น โดยใช้ S3 bucket policy อนุญาตเฉพาะ CloudFront

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "AllowCloudFrontServicePrincipal",
    "Effect": "Allow",
    "Principal": { "Service": "cloudfront.amazonaws.com" },
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::my-bucket/*",
    "Condition": {
      "StringEquals": {
        "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/EDFDVBD6EXAMPLE"
      }
    }
  }]
}

Cache Behaviors ให้คุณกำหนดการตั้งค่าที่ต่างกันตาม URL path pattern เช่น path /images/* ใช้ origin หนึ่ง และ /api/* ใช้อีก origin หนึ่ง โดยมี **Default(*) Cache Behavior** ที่ทำงานเมื่อไม่ตรง pattern อื่น (precedence ต่ำสุด)

Cache Key คือ unique identifier ที่ CloudFront ใช้ระบุแต่ละ object ใน cache โดย default จะประกอบด้วย hostname + resource path (และ query string) สามารถเพิ่ม HTTP headers, cookies, query strings เข้าไปใน cache key ได้ผ่าน Cache Policy

• Cache Policy: ควบคุมว่าอะไรอยู่ใน cache key และ TTL
• Origin Request Policy: ควบคุมว่าจะส่งอะไรไป origin (ไม่กระทบ cache key)
• ใช้ separate policy เพื่อส่งข้อมูลไป origin โดยไม่ทำให้ cache แตกเป็นหลายเวอร์ชัน

TTL (Time To Live) กำหนดว่า object จะอยู่ใน cache นานเท่าใดก่อนต้องไป validate กับ origin origin ควบคุม TTL ได้ผ่าน header Cache-Control: max-age หรือ Expires

Cache Invalidation

เมื่อ deploy เนื้อหาใหม่แต่ผู้ใช้ยังเห็นของเก่าใน cache สามารถสร้าง Invalidation เพื่อบังคับลบ object ออกจาก edge ได้ทันที โดยไม่ต้องรอ TTL หมด สามารถ invalidate ทั้งหมดด้วย /* หรือเฉพาะ path เช่น /images/*

# Invalidate ทั้ง distribution
aws cloudfront create-invalidation \
  --distribution-id EDFDVBD6EXAMPLE \
  --paths "/*"

# Invalidate เฉพาะบาง path
aws cloudfront create-invalidation \
  --distribution-id EDFDVBD6EXAMPLE \
  --paths "/images/*" "/index.html"

ทั้ง Signed URL และ Signed Cookies ใช้ให้สิทธิ์เข้าถึงเนื้อหาแบบ restricted/premium content โดยกำหนด policy เช่น expiration, IP range, trusted signers ได้ ทั้งคู่ sign ด้วย private key ของ trusted key group (วิธีแนะนำ)

• Signed URL = ให้สิทธิ์ individual file (one file = one URL)
• Signed Cookies = ให้สิทธิ์ multiple files โดยไม่ต้องเปลี่ยน URL แต่ละไฟล์
• Trusted Key Group (แนะนำ) สร้างและหมุน key ได้โดยไม่ต้องใช้ root account ต่างจาก legacy CloudFront Key Pair ที่ต้องใช้ root

Geo Restriction

Geo Restriction จำกัดการเข้าถึงตาม ประเทศ ได้ที่ระดับ distribution มีสองแบบ: Allowlist (อนุญาตเฉพาะประเทศที่ระบุ) และ Blocklist (บล็อกประเทศที่ระบุ) ใช้ third-party GeoIP database ในการระบุประเทศ เหมาะกับเรื่อง copyright/compliance

HTTPS / SSL

• Viewer Protocol Policy: บังคับ HTTPS เช่น Redirect HTTP to HTTPS หรือ HTTPS Only
• Origin Protocol Policy: กำหนดวิธีคุยกับ origin (HTTP only / HTTPS only / Match Viewer)
• ใช้ custom SSL certificate ผ่าน ACM สำหรับ custom domain

Origin Group ใช้เพิ่ม high availability ด้วยการทำ origin failover ประกอบด้วย primary origin และ secondary origin เมื่อ primary ตอบ status code ที่กำหนดไว้ CloudFront จะ failover ไป secondary อัตโนมัติ

• Failover status codes ที่กำหนดได้ เช่น 500, 502, 503, 504 (server errors) และ 403, 404, 416 (บางกรณี)
• ใช้คู่กับ S3 + S3 (cross-region) หรือ EC2/ALB เพื่อ resilience
• ทำงานร่วมกับ CloudFront caching ได้ปกติ

ทั้งสองคือ edge compute ที่รันโค้ดใกล้ผู้ใช้เพื่อปรับแต่ง request/response แต่ต่างกันมากในเรื่อง scale, ความสามารถ และจุดที่ทำงาน

// CloudFront Function: redirect และ add security header (viewer response)
function handler(event) {
  var response = event.response;
  var headers = response.headers;
  headers['strict-transport-security'] = {
    value: 'max-age=63072000; includeSubdomains; preload'
  };
  headers['x-content-type-options'] = { value: 'nosniff' };
  return response;
}

AWS Global Accelerator ช่วยเพิ่ม performance และ availability ของ application โดย route traffic ผ่าน AWS global network ไปยัง endpoint ที่ใกล้ที่สุด จุดเด่นคือให้ 2 static anycast IP addresses เป็น entry point คงที่

• ใช้ anycast IP: ผู้ใช้ถูก route ไป edge location ที่ใกล้ที่สุด แล้ววิ่งผ่าน AWS backbone
• ไม่ cache เนื้อหา (ต่างจาก CloudFront) เป็นเพียง network proxy
• รองรับ TCP และ UDP เหมาะกับ non-HTTP เช่น gaming, IoT, VoIP
• มี health check + automatic failover ไป healthy endpoint ภายในไม่กี่วินาที
• endpoint ได้แก่ ALB, NLB, EC2, Elastic IP

นี่คือคู่เปรียบเทียบที่ ออกสอบบ่อยที่สุด ของหัวข้อนี้ ทั้งคู่ใช้ AWS edge network เหมือนกันแต่จุดประสงค์ต่างกันสิ้นเชิง

• ทั้งคู่ได้ประโยชน์จาก AWS global private network (latency ต่ำ, เสถียร)
• ทั้งคู่มี DDoS protection ผ่าน AWS Shield
• CloudFront เน้น content caching; Global Accelerator เน้น smart routing + static IP