Amazon CloudFront部署小指南（二十四）：将CloudFront “多域名”改造为”多租户”架构

# 查看现有标准 Distribution 的网络配置
aws cloudfront get-distribution --id <OLD_DISTRIBUTION_ID>

# 创建启用 IPv6 的连接组（默认使用 Anycast）
aws cloudfront create-connection-group \
  --name "anycast-ipv6-connection-group" \
  --ipv6-enabled \
  --enabled

# 如果需要指定特定的 Anycast IP 列表
aws cloudfront create-connection-group \
  --name "anycast-with-static-ip" \
  --ipv6-enabled \
  --enabled \
  --anycast-ip-list-id "<ANYCAST_IP_LIST_ID>"

# 创建 Distribution 模板 A（例如：主源站配置）
aws cloudfront create-distribution \
  --distribution-config file://distribution-template-a.json \
  --tags Items=[{Key=Type,Value=SaaSTemplate},{Key=Name,Value=TemplateA}]

# 创建 Distribution 模板 B（例如：备用源站配置）
aws cloudfront create-distribution \
  --distribution-config file://distribution-template-b.json \
  --tags Items=[{Key=Type,Value=SaaSTemplate},{Key=Name,Value=TemplateB}]

# 创建租户配置文件 tenant1.json
cat > tenant1.json << 'EOF'
{
  "DistributionId": "<MULTI_TENANT_DISTRIBUTION_ID>",
  "Name": "tenant-domain1",
  "Domains": [
    {
      "Domain": "domain1-placeholder.example.com"
    }
  ],
  "ConnectionGroupId": "<CONNECTION_GROUP_ID>",
  "Customizations": {
    "WebAcl": {
      "Action": "override",
      "Arn": "arn:aws:wafv2:us-east-1:<AWS_ACCOUNT_ID>:global/webacl/tenant1-acl/<WAF_ACL_ID_1>"
    }
  },
  "Enabled": true
}
EOF

# 创建租户 1
aws cloudfront create-distribution-tenant \
  --cli-input-json file://tenant1.json

# 创建租户 2 配置文件
cat > tenant2.json << 'EOF'
{
  "DistributionId": "<MULTI_TENANT_DISTRIBUTION_ID>",
  "Name": "tenant-domain2",
  "Domains": [ {
      "Domain": "domain2-placeholder.example.com"}
  ],
  "ConnectionGroupId": "<CONNECTION_GROUP_ID>",
  "Customizations": {
    "WebAcl": {
      "Action": "override",
      "Arn": "arn:aws:wafv2:us-east-1:<AWS_ACCOUNT_ID>:global/webacl/tenant2-acl/<WAF_ACL_ID_2>"
    }
  },
  "Enabled": true
}
EOF

# 创建租户 2
aws cloudfront create-distribution-tenant \
  --cli-input-json file://tenant2.json

# 保存返回的租户 ID（格式为 dt_xxx）供后续使用
# 输出示例：
# {"DistributionTenant": { "Id": "<TENANT1_ID>",... }}

# 获取 Connection Group 的路由端点（DNS 名称）
aws cloudfront get-connection-group \
  --id "<CONNECTION_GROUP_ID>" \
  --query 'ConnectionGroup.RoutingEndpoint' --output text
# 输出示例：<ROUTING_ENDPOINT>

# 配置 DNS 记录指向 Connection Group 的路由端点
# domain1-placeholder.example.com -> <ROUTING_ENDPOINT>

# 测试访问
curl -v https://domain1-placeholder.example.com/test-path

# 测试缓存刷新（使用 Distribution ID）
aws cloudfront create-invalidation \
  --distribution-id "<MULTI_TENANT_DISTRIBUTION_ID>" \
  --paths "/*"

# 测试 WAF 规则
curl -H "User-Agent: BadBot" https://domain1-placeholder.example.com/

# 获取当前标准 Distribution 配置
aws cloudfront get-distribution-config \
  --id <OLD_DISTRIBUTION_ID> \
  --output json > old-dist-config.json

# 编辑配置文件，将 Aliases 中的 "domain1.example.com" 改为 "*.example.com"
# 原配置：
# "Aliases": { "Quantity": 3, "Items": ["domain1.example.com", "domain2.example.com", "domain3.example.com"] }

# 新配置：
# "Aliases": {"Quantity": 1, "Items": ["*.example.com"] }

# 更新标准 Distribution
aws cloudfront update-distribution \
  --id <OLD_DISTRIBUTION_ID> \
  --distribution-config file://old-dist-config-updated.json \
  --if-match <ETAG_VALUE>

# 等待部署完成（约 15-30 分钟）
aws cloudfront wait distribution-deployed --id <OLD_DISTRIBUTION_ID>

# 方法一：使用命令行参数（简单场景）
# 获取租户 1 的 ETag
ETAG1=$(aws cloudfront get-distribution-tenant \
  --id "<TENANT1_ID>" \
  --query 'ETag' --output text)

# 更新租户 1 的域名
aws cloudfront update-distribution-tenant \
  --id "<TENANT1_ID>" \
  --if-match "$ETAG1" \
  --domains Domain="domain1.example.com"

# 方法二：使用 JSON 文件（推荐用于生产环境）
# 获取当前配置
aws cloudfront get-distribution-tenant \
  --id "<TENANT1_ID>" \
  > tenant1-current.json

# 提取 ETag
ETAG=$(jq -r '.ETag' tenant1-current.json)

# 创建更新配置文件
cat > update-tenant1-domain.json << EOF
{
  "Id": "<TENANT1_ID>",
  "IfMatch": "$ETAG",
  "Domains": [  {"Domain": "domain1.example.com } ]
}
EOF

# 执行更新
aws cloudfront update-distribution-tenant \
  --cli-input-json file://update-tenant1-domain.json

# 验证租户配置
aws cloudfront get-distribution-tenant \
  --id "<TENANT1_ID>"

# 获取 Connection Group 的路由端点
ROUTING_ENDPOINT=$(aws cloudfront get-connection-group \
  --id "<CONNECTION_GROUP_ID>" \
  --query 'ConnectionGroup.RoutingEndpoint' --output text)

echo "路由端点: $ROUTING_ENDPOINT"
# 输出示例：<ROUTING_ENDPOINT>

# 更新 DNS 记录（以 Route 53 为例）
aws route53 change-resource-record-sets \
  --hosted-zone-id <HOSTED_ZONE_ID> \
  --change-batch '{
    "Changes": [{
      "Action": "UPSERT",
      "ResourceRecordSet": {
        "Name": "domain1.example.com",
        "Type": "CNAME",
        "TTL": 300,
        "ResourceRecords": [{"Value": "'"$ROUTING_ENDPOINT"'"}]
      }}]}'

# 验证 DNS 解析
dig domain1.example.com CNAME

# 验证 HTTPS 证书
curl -v https://domain1.example.com/ 2>&1 | grep "subject:"

# 验证缓存功能
curl -I https://domain1.example.com/test-path | grep "X-Cache"

# 验证 WAF 规则
aws wafv2 get-web-acl-for-resource \
  --resource-arn "arn:aws:cloudfront::<AWS_ACCOUNT_ID>:distribution/<MULTI_TENANT_DISTRIBUTION_ID>"

# 监控 Distribution 错误率
aws cloudwatch get-metric-statistics \
  --namespace AWS/CloudFront \
  --metric-name 4xxErrorRate \
  --dimensions Name=DistributionId,Value=<MULTI_TENANT_DISTRIBUTION_ID> \
  --start-time 2026-02-11T00:00:00Z \
  --end-time 2026-02-11T23:59:59Z \
  --period 300 \
  --statistics Average