如何将AWS CloudFront连接至AWS Elastic Beanstalk托管的应用？

完全可以将Elastic Beanstalk（EBS）的环境域名作为CloudFront的源站，这正是解决ALB动态替换问题的可靠方案——因为EBS环境域名与环境绑定，即使底层ALB被替换，EBS会自动更新该域名的DNS解析，CloudFront会自动解析到新的ALB，无需手动修改CloudFront配置。

结合Blazor Server的特性（依赖SignalR/WebSocket），具体操作步骤如下：

1. 获取EBS环境域名 #

登录AWS控制台，进入Elastic Beanstalk服务，找到你的Blazor Server应用所在环境，复制环境域名（格式通常为[环境名].[区域].elasticbeanstalk.com）。

2. 创建CloudFront分配 #

源配置 #

• 源域名：直接填入你复制的EBS环境域名
• 源协议策略：选择HTTPS only（EBS默认会为环境域名配置AWS托管的SSL证书）
• 源端口：保持默认的443
• 源路径：留空（无需额外路径）

缓存行为配置（关键：适配Blazor Server的SignalR需求） #

针对路径/*设置以下规则：

• 查看器协议策略：Redirect HTTP to HTTPS（强制HTTPS访问）
• 允许的HTTP方法：勾选GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE（SignalR连接需要POST、OPTIONS等方法）
• 缓存策略：选择Managed-CachingDisabled（Blazor Server为动态渲染应用，缓存会导致内容不一致或SignalR连接异常）
• 原点请求策略：选择Managed-AllViewerExceptHostHeader（确保必要的请求头传递到EBS源站）
• WebSocket支持：在「缓存行为设置」的「高级设置」中开启Enable WebSocket（必须开启，否则Blazor Server的实时交互会失效）

其他配置 #

• 价格类：根据用户分布选择合适的区域（例如Use Only North America and Europe）以降低延迟
• SSL证书：如果使用自定义域名，需在us-east-1区域的ACM（AWS Certificate Manager）申请证书，并在CloudFront中关联该证书（CloudFront仅识别us-east-1区域的证书）
• 自定义域名：添加你的业务域名（如www.your-app.com），与上述ACM证书绑定

3. 更新Route53配置 #

• 删除原有的指向EBS环境域名的CNAME记录
• 创建新的记录：
  • 若为子域名（如www.your-app.com）：记录类型选CNAME，值填入CloudFront分配的域名（格式为dxxxxxx.cloudfront.net）
  • 若为根域名（如your-app.com）：记录类型选A，开启「别名」，目标选择你的CloudFront分配

4. 验证与测试 #

• 访问自定义域名，确认Blazor应用正常加载，浏览器控制台中SignalR的WebSocket连接无报错
• 触发EBS环境的ALB替换场景（如重启环境、部署新版本触发环境更新），验证应用仍可通过CloudFront正常访问

注意事项 #

• 确保EBS环境的ALB安全组允许HTTPS（443端口）访问：可直接允许0.0.0.0/0的HTTPS流量，或限制为CloudFront的边缘IP范围
• 若需进一步安全控制，可在CloudFront中配置WAF规则，过滤非法请求

内容的提问来源于stack exchange，提问作者Ayush Pandey