Amazon CloudFront

Không có CDN:
┌────────────┐                                           ┌────────────┐
│   User     │ ───────────── 200ms ─────────────────────▶│   Origin   │
│ (Vietnam)  │                                           │   (US)     │
└────────────┘                                           └────────────┘

Có CDN (CloudFront):
┌────────────┐         ┌────────────┐                   ┌────────────┐
│   User     │ ──20ms─▶│   Edge     │ ◀── cached ────── │   Origin   │
│ (Vietnam)  │         │  Location  │                   │   (US)     │
└────────────┘         │ (Singapore)│                   └────────────┘
                       └────────────┘

┌─────────────────────────────────────────────────────────────────────────────────┐
│                              CloudFront Distribution                            │
├─────────────────────────────────────────────────────────────────────────────────┤
│                                                                                 │
│  ┌─────────────┐    ┌─────────────┐    ┌─────────────┐    ┌─────────────┐       │
│  │    User     │    │    User     │    │    User     │    │    User     │       │
│  │  (Vietnam)  │    │   (Japan)   │    │   (Europe)  │    │    (US)     │       │
│  └──────┬──────┘    └──────┬──────┘    └──────┬──────┘    └──────┬──────┘       │
│         │                  │                  │                  │              │
│         ▼                  ▼                  ▼                  ▼              │
│  ┌─────────────┐    ┌─────────────┐    ┌─────────────┐    ┌─────────────┐       │
│  │    Edge     │    │    Edge     │    │    Edge     │    │    Edge     │       │
│  │  Location   │    │  Location   │    │  Location   │    │  Location   │       │
│  │ (Singapore) │    │  (Tokyo)    │    │ (Frankfurt) │    │ (Virginia)  │       │
│  └──────┬──────┘    └──────┬──────┘    └──────┬──────┘    └──────┬──────┘       │
│         │                  │                  │                  │              │
│         └──────────────────┴────────┬─────────┴──────────────────┘              │
│                                     ▼                                           │
│                          ┌───────────────────┐                                  │
│                          │  Regional Edge    │  (Mid-tier cache)                │
│                          │     Cache         │                                  │
│                          └─────────┬─────────┘                                  │
│                                    │                                            │
│                                    ▼                                            │
│                          ┌───────────────────┐                                  │
│                          │   Origin Shield   │  (Optional - Centralized cache)  │
│                          │                   │                                  │
│                          └─────────┬─────────┘                                  │
│                                    │                                            │
└────────────────────────────────────┼────────────────────────────────────────────┘
                                     ▼
                    ┌──────────────────────────────────────┐
                    │            Origins                   │
                    ├──────────────────────────────────────┤
                    │  ┌─────┐  ┌─────┐  ┌─────┐  ┌───────┐│
                    │  │ S3  │  │ ALB │  │ EC2 │  │HTTP   ││
                    │  │     │  │     │  │     │  │       ││
                    │  └─────┘  └─────┘  └─────┘  └───────┘│
                    └──────────────────────────────────────┘

Ví dụ Edge Locations ở Asia Pacific:
├── Singapore (3 locations)
├── Tokyo (5 locations)
├── Osaka (2 locations)
├── Hong Kong (3 locations)
├── Seoul (4 locations)
├── Mumbai (3 locations)
└── Sydney (3 locations)

Không có Origin Shield:
Edge Tokyo     ──▶ Regional Cache (Tokyo)    ──┐
Edge Singapore ──▶ Regional Cache (Singapore)──┼──▶ Origin (mỗi Regional Cache fetch riêng = nhiều requests)
Edge Sydney    ──▶ Regional Cache (Sydney)   ──┘

Có Origin Shield:
Edge Tokyo     ──▶ Regional Cache (Tokyo)    ──┐
Edge Singapore ──▶ Regional Cache (Singapore)──┼──▶ Origin Shield ──▶ Origin (chỉ 1 request)
Edge Sydney    ──▶ Regional Cache (Sydney)   ──┘

# Phổ biến nhất cho static content
Origin:
  DomainName: my-bucket.s3.amazonaws.com
  Id: S3Origin
  S3OriginConfig:
    OriginAccessIdentity: origin-access-identity/cloudfront/XXXXX

OriginAccessControl:
  Name: my-oac
  SigningBehavior: always
  SigningProtocol: sigv4
  OriginAccessControlOriginType: s3

# Cho dynamic content, microservices
Origin:
  DomainName: my-alb-123456.us-east-1.elb.amazonaws.com
  Id: ALBOrigin
  CustomOriginConfig:
    HTTPPort: 80
    HTTPSPort: 443
    OriginProtocolPolicy: https-only

# Direct EC2 access (phải public)
Origin:
  DomainName: ec2-52-xx-xx-xx.compute-1.amazonaws.com
  CustomOriginConfig:
    HTTPPort: 80
    OriginProtocolPolicy: http-only

# Any HTTP endpoint
Origin:
  DomainName: api.example.com
  CustomOriginConfig:
    HTTPSPort: 443
    OriginProtocolPolicy: https-only

# High availability with automatic failover
OriginGroup:
  Id: my-origin-group
  Members:
    - OriginId: PrimaryOrigin    # S3 bucket 1
    - OriginId: SecondaryOrigin  # S3 bucket 2 (backup)
  FailoverCriteria:
    StatusCodes:
      - 500
      - 502
      - 503
      - 504

Request từ User:
┌────────────────────────────────────────────────────────────────┐
│ GET /images/logo.png HTTP/1.1                                  │
│ Host: cdn.example.com                                          │
│ Accept: image/*                                                │
└────────────────────────────────────────────────────────────────┘
                              │
                              ▼
                    ┌─────────────────┐
                    │  Edge Location  │
                    │   Cache Check   │
                    └────────┬────────┘
                             │
              ┌──────────────┴──────────────┐
              │                             │
              ▼                             ▼
       ┌─────────────┐              ┌─────────────┐
       │ Cache Hit   │              │ Cache Miss  │
       │ (X-Cache:   │              │ Fetch from  │
       │  Hit)       │              │   Origin    │
       └──────┬──────┘              └──────┬──────┘
              │                            │
              │                            ▼
              │                    ┌─────────────┐
              │                    │ Cache the   │
              │                    │  response   │
              │                    └──────┬──────┘
              │                           │
              └───────────┬───────────────┘
                          ▼
                 Return to User

d1234abcd5678.cloudfront.net

User gọi trực tiếp S3 (KHÔNG qua CloudFront):
https://my-bucket.s3.amazonaws.com/logo.png
└──▶ Bypass hoàn toàn CloudFront
└──▶ Mỗi request = 1 GET đến S3
└──▶ Tốn tiền S3, không có cache benefit

User gọi qua CloudFront:
https://d1234.cloudfront.net/logo.png
└──▶ Request 1: Cache miss → fetch từ S3
└──▶ Request 2,3,4...: Cache HIT → serve từ edge
└──▶ Nhanh hơn, rẻ hơn!

Route 53:
cdn.example.com ──▶ ALIAS ──▶ d1234abcd5678.cloudfront.net

User gọi:
https://cdn.example.com/images/logo.png  ──▶ Thực ra là CloudFront!

<!-- ❌ SAI - Bypass CloudFront -->
<img src="https://my-bucket.s3.amazonaws.com/logo.png">

<!-- ✅ ĐÚNG - Qua CloudFront -->
<img src="https://cdn.example.com/logo.png">

Request đến CloudFront:
│
├── POST/PUT/DELETE? ──▶ KHÔNG cache (forward đến origin)
│
└── GET/HEAD?
    │
    └── Check Cache Behavior config:
        │
        ├── CachingDisabled? ──▶ KHÔNG cache
        │
        └── CachingOptimized?
            │
            └── Origin response có Cache-Control?
                ├── no-cache ──▶ KHÔNG cache
                ├── max-age=3600 ──▶ Cache 1 hour
                └── Không có ──▶ Dùng Default TTL

Distribution:
  CacheBehaviors:
    # API - KHÔNG cache
    - PathPattern: "/api/*"
      CachePolicyId: CachingDisabled
      
    # Static - Cache lâu
    - PathPattern: "/static/*"
      CachePolicyId: CachingOptimized
      
    # Images - Cache 1 năm
    - PathPattern: "*.jpg"
      CachePolicyId: CachingOptimized

# Ví dụ: Cache theo query string
CacheBehavior:
  PathPattern: "/api/*"
  CachePolicy:
    QueryStringsConfig:
      QueryStringBehavior: whitelist
      QueryStrings:
        - page
        - limit

# 3 loại TTL
CachePolicy:
  DefaultTTL: 86400    # 24 hours (khi origin không set Cache-Control)
  MinTTL: 0            # Tối thiểu
  MaxTTL: 31536000     # 1 year (tối đa)

# Multiple cache behaviors cho khác nhau content types
Distribution:
  DefaultCacheBehavior:
    PathPattern: "*"           # Default
    ViewerProtocolPolicy: redirect-to-https
    CachePolicyId: 658327ea-f89d-4fab-a63d-7e88639e58f6  # CachingOptimized
    
  CacheBehaviors:
    - PathPattern: "/api/*"
      CachePolicyId: 4135ea2d-6df8-44a3-9df3-4b5a84be39ad  # CachingDisabled
      OriginRequestPolicyId: 216adef6-5c7f-47e4-b989-5492eafa07d3
      
    - PathPattern: "/static/*"
      CachePolicyId: 658327ea-f89d-4fab-a63d-7e88639e58f6  # CachingOptimized
      Compress: true
      
    - PathPattern: "*.jpg"
      CachePolicyId: 658327ea-f89d-4fab-a63d-7e88639e58f6
      Compress: false  # Images already compressed

                    Function có thể:
                    1. Modify request rồi cho đi tiếp
                    2. Hoặc trả response luôn (không đến Origin)
                          │
                          ▼
┌──────┐     ┌─────────────────────┐     ┌───────┐     ┌────────┐
│ User │────▶│ CloudFront Function │────▶│ Cache │────▶│ Origin │
└──────┘     └─────────────────────┘     └───────┘     └────────┘
                          │
                          │ (có thể return sớm)
                          ▼
                    Response cho User

function handler(event) {
    var request = event.request;
    
    // Sửa URL: /blog/123 → /blog?id=123
    if (request.uri.startsWith('/blog/')) {
        var id = request.uri.split('/')[2];
        request.uri = '/blog';
        request.querystring = { id: { value: id } };
    }
    
    return request;  // ← Return REQUEST = đi tiếp đến Origin
}

function handler(event) {
    var request = event.request;
    
    // Redirect - trả response luôn
    if (request.uri === '/old-page') {
        return {
            statusCode: 301,
            headers: { location: { value: '/new-page' } }
        };  // ← Return RESPONSE = dừng ở đây
    }
    
    return request;  // Các request khác đi tiếp
}

User ──▶ ①Viewer Request ──▶ Cache ──▶ ②Origin Request ──▶ Origin
     ◀── ④Viewer Response ◀── Cache ◀── ③Origin Response ◀──

// Redirect www → non-www
function handler(event) {
    var request = event.request;
    var host = request.headers.host.value;
    
    if (host.startsWith('www.')) {
        return {
            statusCode: 301,
            headers: { location: { value: 'https://example.com' + request.uri } }
        };
    }
    return request;
}

// Add security headers
function handler(event) {
    var response = event.response;
    response.headers['x-frame-options'] = { value: 'DENY' };
    response.headers['x-content-type-options'] = { value: 'nosniff' };
    return response;
}

# Resize ảnh on-the-fly (cần gọi S3 - CloudFront Functions KHÔNG làm được)
import boto3
from PIL import Image

def lambda_handler(event, context):
    request = event['Records'][0]['cf']['request']
    
    # Gọi S3 để lấy ảnh gốc
    s3 = boto3.client('s3')
    image = s3.get_object(Bucket='my-bucket', Key=request['uri'][1:])
    
    # Resize và trả về
    resized = resize_image(image, width=200)
    return resized

Distribution:
  ViewerCertificate:
    AcmCertificateArn: arn:aws:acm:us-east-1:123456789:certificate/xxx
    SslSupportMethod: sni-only
    MinimumProtocolVersion: TLSv1.2_2021

┌─────────────────────────────────────────────────────────────────┐
│                    Origin Access Control (OAC)                  │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  User → CloudFront → [OAC Sign Request] → S3 (private)          │
│                              ↑                                  │
│                    AWS Signature V4                             │
│                                                                 │
│  User truy cập S3 trực tiếp: ❌ 403 Forbidden                   │
│  User truy cập qua CloudFront: ✅ 200 OK                        │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Bucket Policy: "Cho phép cloudfront.amazonaws.com"
                    ↓
Nhưng làm sao S3 biết request ĐẾN TỪ CloudFront thật sự?
                    ↓
OAC signing = Chứng minh danh tính (như thẻ nhân viên + vân tay)

1. User request → CloudFront
2. CloudFront SIGN request với AWS Signature V4
3. Request có chữ ký → gửi đến S3
4. S3 verify chữ ký → "OK, đây là CloudFront được phép"
5. S3 trả content → CloudFront → User

Lưu ý: Chỉ sign khi Cache MISS (cần lấy từ S3)
       Cache HIT → trả từ cache, không gọi S3

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-bucket/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::123456789:distribution/XXXXX"
                }
            }
        }
    ]
}

Case 1: User tải 1 file invoice.pdf
→ Dùng Signed URL

Case 2: User xem video HLS gồm playlist.m3u8 + hàng trăm .ts/.m4s segments
→ Dùng Signed Cookies

CASE 1: CLOUDFRONT SIGNED URL
"Dùng khi muốn cho phép truy cập 1 file cụ thể"

User Browser
    |
    | 1) Login
    v
Your App / Backend
    |
    | 2) Xác thực user là subscriber
    | 3) Tạo CloudFront signed URL
    |    https://d123.cloudfront.net/private/movie.mp4?Signature=...
    v
User Browser
    |
    | 4) Gọi URL đã ký
    v
CloudFront
    |
    | 5) Kiểm tra:
    |    - Signature đúng?
    |    - Hết hạn chưa?
    |    - Policy có hợp lệ?
    |
    |---- NO ---> 403 Forbidden
    |
    |---- YES --> Lấy file từ origin nếu cần
    v
S3 / Origin
    |
    v
CloudFront
    |
    v
User xem được movie.mp4

CASE 2: CLOUDFRONT SIGNED COOKIES
"Dùng khi muốn cho phép truy cập nhiều file"

User Browser
    |
    | 1) Login
    v
Your App / Backend
    |
    | 2) Xác thực user là subscriber
    | 3) Set signed cookies vào browser
    |    CloudFront-Policy=...
    |    CloudFront-Signature=...
    |    CloudFront-Key-Pair-Id=...
    v
User Browser
    |
    | 4) Request các URL bình thường:
    |    /videos/lesson1/playlist.m3u8
    |    /videos/lesson1/seg-001.ts
    |    /videos/lesson1/seg-002.ts
    |
    |    Browser tự gửi cookie kèm theo
    v
CloudFront
    |
    | 5) Kiểm tra cookie:
    |    - Signature đúng?
    |    - Hết hạn chưa?
    |    - Policy có cho path này không?
    |
    |---- NO ---> 403 Forbidden
    |
    |---- YES --> Cho truy cập tất cả file khớp policy
    v
S3 / Origin
    |
    v
CloudFront
    |
    v
User xem được nhiều file của video

CloudFront Signed URL:
https://d123.cloudfront.net/private/video.mp4?Expires=...&Signature=...&Key-Pair-Id=...

S3 Presigned URL:
https://my-bucket.s3.amazonaws.com/private/video.mp4?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Signature=...

KHÁC VỚI S3 PRESIGNED URL

CloudFront Signed URL/Cookie:
User -> CloudFront -> S3
        ^
        CloudFront kiểm tra quyền

S3 Presigned URL:
User -----------------> S3
                        ^
                        S3 kiểm tra quyền

# Tạo Signed URL bằng Python
from datetime import datetime, timedelta
import boto3
from botocore.signers import CloudFrontSigner
import rsa

def rsa_signer(message):
    with open('private_key.pem', 'rb') as key_file:
        private_key = rsa.PrivateKey.load_pkcs1(key_file.read())
    return rsa.sign(message, private_key, 'SHA-1')

def generate_signed_url(url, expire_minutes=60):
    key_id = 'APKAXXXXXXXXXXXXXXXX'  # CloudFront Key Pair ID
    expire_date = datetime.utcnow() + timedelta(minutes=expire_minutes)
    
    cf_signer = CloudFrontSigner(key_id, rsa_signer)
    signed_url = cf_signer.generate_presigned_url(
        url,
        date_less_than=expire_date
    )
    
    return signed_url

# Sử dụng
url = generate_signed_url('https://d123.cloudfront.net/private/video.mp4')

Distribution:
  Restrictions:
    GeoRestriction:
      RestrictionType: whitelist  # hoặc blacklist
      Locations:
        - VN
        - US
        - JP

Distribution:
  WebACLId: arn:aws:wafv2:us-east-1:123456789:global/webacl/my-webacl/xxx

# WAF có thể:
# - Block SQL injection
# - Block XSS attacks
# - Rate limiting
# - IP blocking
# - Bot management

User POST request:
{
  "name": "John",
  "credit_card": "4111-1111-1111-1111"  ──▶ Encrypted at edge
}

Origin receives:
{
  "name": "John",
  "credit_card": "AQICAHh...encrypted_base64..."  ──▶ Decrypt với private key
}

# AWS CLI
aws cloudfront create-invalidation \
  --distribution-id E1234567890 \
  --paths "/images/*" "/index.html"

# Boto3
import boto3

client = boto3.client('cloudfront')

response = client.create_invalidation(
    DistributionId='E1234567890',
    InvalidationBatch={
        'Paths': {
            'Quantity': 2,
            'Items': ['/images/*', '/index.html']
        },
        'CallerReference': 'my-invalidation-001'
    }
)

<!-- Thay vì invalidate /css/style.css -->
<link href="/css/style.v2.css" rel="stylesheet">

<!-- Hoặc dùng hash -->
<link href="/css/style.a1b2c3d4.css" rel="stylesheet">

Distribution:
  Logging:
    Enabled: true
    Bucket: my-logs-bucket.s3.amazonaws.com
    Prefix: cloudfront-logs/
    IncludeCookies: false

date time x-edge-location sc-bytes c-ip cs-method cs(Host) cs-uri-stem sc-status cs(Referer) cs(User-Agent) ...

RealtimeLogConfig:
  Name: my-realtime-logs
  EndPoints:
    - StreamType: Kinesis
      KinesisStreamConfig:
        RoleARN: arn:aws:iam::123456789:role/cloudfront-realtime-logs
        StreamARN: arn:aws:kinesis:us-east-1:123456789:stream/cf-logs
  Fields:
    - timestamp
    - c-ip
    - sc-status
    - cs-uri-stem
    - time-taken

Distribution:
  PriceClass: PriceClass_100  # Chỉ US, EU, Canada
  # PriceClass_200: + Asia Pacific, Middle East, Africa
  # PriceClass_All: Tất cả regions

┌─────────────┐       ┌─────────────┐       ┌─────────────┐
│   Browser   │──────▶│  CloudFront │──────▶│  S3 Bucket  │
│             │       │  + ACM cert │       │  (React app)│
└─────────────┘       └─────────────┘       └─────────────┘

npm run build

# Output:
build/
├── index.html                    # Entry point
├── static/
│   ├── js/main.a1b2c3d4.js      # Hash trong tên file!
│   └── css/main.e5f6g7h8.css
└── assets/images/

┌─────────────────────────────────────────────────────────┐
│                   CloudFront Cache                      │
├─────────────────────────────────────────────────────────┤
│                                                         │
│  index.html ────── ❌ KHÔNG cache                       │
│                    → Luôn lấy version mới               │
│                    → Chứa link đến JS/CSS mới           │
│                                                         │
│  static/js/*.js ── ✅ Cache 1 NĂM (immutable)           │
│  static/css/*.css  → Có hash trong tên file             │
│                    → Code đổi → tên file đổi            │
│                    → KHÔNG CẦN invalidate!              │
│                                                         │
│  assets/images/* ─ ✅ Cache 1 tháng - 1 năm             │
│                                                         │
└─────────────────────────────────────────────────────────┘

Deploy 1: index.html chứa <script src="main.AAA.js">
Deploy 2: index.html chứa <script src="main.BBB.js">  ← Tên mới!

Nếu index.html bị cache → User vẫn load code cũ!

# Static files - cache 1 năm
aws s3 sync build/static s3://my-bucket/static \
  --cache-control "max-age=31536000, immutable"

# index.html - không cache
aws s3 cp build/index.html s3://my-bucket/ \
  --cache-control "no-cache, no-store, must-revalidate"

1. Build React → tạo main.NEW123.js (tên mới)
2. Upload S3
3. KHÔNG CẦN invalidate CloudFront!

Vì:
- index.html không cache → user nhận HTML mới
- HTML mới link đến main.NEW123.js
- File mới → chưa có cache → lấy từ S3

#!/bin/bash
# deploy-react.sh

BUCKET="my-react-app"
DISTRIBUTION_ID="E1234567890"

# 1. Build
npm run build

# 2. Upload static files với long cache
aws s3 sync build/ s3://$BUCKET/ \
    --exclude "index.html" \
    --exclude "*.map" \
    --cache-control "public, max-age=31536000, immutable"

# 3. Upload index.html với no-cache
aws s3 cp build/index.html s3://$BUCKET/index.html \
    --cache-control "no-cache, no-store, must-revalidate"

# 4. (Optional) Invalidate index.html để chắc chắn
aws cloudfront create-invalidation \
    --distribution-id $DISTRIBUTION_ID \
    --paths "/index.html"

echo "Deploy completed!"

CustomErrorResponses:
  - ErrorCode: 403
    ResponsePagePath: /index.html
    ResponseCode: 200
  - ErrorCode: 404
    ResponsePagePath: /index.html
    ResponseCode: 200

function handler(event) {
    var request = event.request;
    var uri = request.uri;
    
    // Nếu không có extension → SPA route → trả về index.html
    if (!uri.includes('.')) {
        request.uri = '/index.html';
    }
    
    return request;
}

┌─────────────┐       ┌─────────────┐       ┌─────────────┐
│   Mobile    │──────▶│  CloudFront │──────▶│     ALB     │
│    App      │       │   (cache    │       │   + ECS     │
└─────────────┘       │   API resp) │       └─────────────┘
                      └─────────────┘

┌─────────────┐       ┌─────────────┐       ┌─────────────┐
│   Viewer    │──────▶│  CloudFront │──────▶│MediaPackage │
│             │       │  (HLS/DASH) │       │or MediaStore│
└─────────────┘       └─────────────┘       └─────────────┘

# Route based on path
Distribution:
  Origins:
    - Id: S3Static
      DomainName: static.s3.amazonaws.com
    - Id: APIBackend
      DomainName: api-alb.us-east-1.elb.amazonaws.com
      
  CacheBehaviors:
    - PathPattern: "/api/*"
      TargetOriginId: APIBackend
    - PathPattern: "/static/*"
      TargetOriginId: S3Static

# Maximize cache hit ratio
- Dùng consistent URL (tránh random query strings)
- Set Cache-Control headers từ origin
- Chỉ forward headers/cookies cần thiết
- Dùng Origin Shield cho high-traffic

# Security checklist
- ✅ HTTPS only (redirect HTTP)
- ✅ TLS 1.2+ minimum
- ✅ OAC cho S3 origins
- ✅ WAF cho public APIs
- ✅ Signed URLs cho private content
- ✅ Geo restriction nếu cần

# Performance tips
- ✅ Enable compression (gzip, brotli)
- ✅ Dùng HTTP/2 (mặc định enabled)
- ✅ Cache static assets lâu (1 year) với versioned URLs
- ✅ Dùng CloudFront Functions cho lightweight logic

# Giảm chi phí
- Dùng Price Class phù hợp (không cần All nếu không có users global)
- Versioned URLs thay vì Invalidation
- Monitor CacheHitRate (target > 80%)
- Reserved capacity cho high-volume

┌──────────────────────────────────────────────────────────────────┐
│                         Route 53                                 │
│  cdn.example.com ──▶ Alias Record ──▶ d123.cloudfront.net        │
└──────────────────────────────────────────────────────────────────┘
                                │
                                ▼
┌──────────────────────────────────────────────────────────────────┐
│                        CloudFront                                │
│  Distribution: d123.cloudfront.net                               │
│  Alternate Domain: cdn.example.com                               │
│  Certificate: *.example.com (ACM - us-east-1)                    │
└──────────────────────────────────────────────────────────────────┘

# Check headers
curl -I https://cdn.example.com/image.png

# Look for:
# X-Cache: Hit from cloudfront  ← Cache hit
# X-Cache: Miss from cloudfront ← Cache miss
# Age: 3600                     ← Cached for 1 hour

Nguyên nhân phổ biến:
1. S3 bucket policy chưa cho phép CloudFront
2. OAC/OAI chưa config đúng
3. S3 Block Public Access blocking
4. Object-level permissions

502 Bad Gateway:
- Origin không phản hồi
- SSL handshake fail với origin
- Origin trả về response không hợp lệ

504 Gateway Timeout:
- Origin mất quá lâu để phản hồi (> 30s default)
- Tăng Origin Response Timeout