Amazon CloudFront与Elastic Beanstalk集成故障排查求助

1. 检查Beanstalk安全组配置 #

• 确保Beanstalk环境的安全组允许CloudFront的入站流量（HTTP/HTTPS）。不用手动添加零散IP，直接用AWS官方提供的CloudFront服务前缀：IPv4填com.amazonaws.global.cloudfront.origin-facing，IPv6填com.amazonaws.global.cloudfront.origin-facing.ipv6。
• 操作方式：进入Beanstalk环境对应的EC2安全组，在入站规则中新增HTTP/HTTPS规则，源选择「自定义」，填入上述服务前缀即可。

2. 核对CloudFront源配置细节 #

• 源域名必须是Beanstalk的官方端点（比如xxx.elasticbeanstalk.com），不要带https://这类前缀。
• 源协议策略要和Beanstalk实际配置匹配：如果Beanstalk启用了HTTPS，就选「仅HTTPS」；如果只有HTTP服务，就选「仅HTTP」，不匹配会直接导致请求失败。
• 尝试添加Host头：部分Beanstalk环境要求请求的Host头为自身端点域名，可在CloudFront源的「自定义头部」中添加Host: 你的Beanstalk端点域名。

3. 检查CloudFront缓存行为设置 #

• 查看器协议策略：如果你的个人域名用HTTPS访问，要么选「HTTP转HTTPS」要么「仅HTTPS」，避免和源协议冲突。
• 允许的HTTP方法：若网站有动态内容（比如表单提交），不要只勾选GET/HEAD，把POST、PUT等必要方法也加上，否则动态请求会被拦截。

4. 查看Beanstalk日志定位根源 #

• 去Beanstalk控制台查看Web服务器日志（Nginx或Apache日志），确认CloudFront的请求是不是被Web服务器本身拒绝（比如出现403错误）。
• 如果是Web服务器的allow/deny规则限制了访问，需要修改Beanstalk的配置文件，把CloudFront的服务前缀加入允许列表。

关于第一次配置的说明 #

你第一次把源设为www.example.com时，CloudFront能正常加载是因为它通过你的域名间接访问了Beanstalk，但当时你的个人域名CNAME还是指向Beanstalk，用户请求直接到Beanstalk，根本没经过CloudFront，自然不会有via头——只有当CNAME指向CloudFront域名后，请求才会走CloudFront链路。

内容的提问来源于stack exchange，提问作者Mohammad Ayan