---
title: 【AWS】CloudFront＋ALB構成で遭遇した502（OriginCommError）の調査記録｜Nextmode Blog
description: "CloudFrontのオリジンにALBを設定した構成で、ALBへの直接アクセスは正常なのにCloudFront経由だけ502エラーになる事象が発生。\n原因はSNIとALBのデフォルト証明書の組み合わせによるTLSハンドシェイク失敗でした。\nログの調査過程から根本原因、解決方法までを解説します。"
image: https://info.nextmode.co.jp/hubfs/Blog_aws.png
---

[![nextmode blog](https://info.nextmode.co.jp/hubfs/raw_assets/public/NextMode_Theme/nextmode%20blog.png)](https://info.nextmode.co.jp/blog)

[ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) [資料請求](https://info.nextmode.co.jp/request/) [お問い合わせ](https://nextmode.co.jp/contact/)

- [会社TOP](https://nextmode.co.jp/)
- [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/)
- [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/)
  
    - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/)
    - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/)
    - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/)
    - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/)
    - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/)
    - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/)
- [AWS総合支援](https://nextmode.co.jp/services/aws/)
  
    - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/)
    - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/)
- [導入事例](https://nextmode.co.jp/casestudy/)
- [会社情報](https://nextmode.co.jp/company/)
- [セミナー](https://info.nextmode.co.jp/seminar/)
- [ブログ](https://info.nextmode.co.jp/blog)

[![YouTube](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/@nextmode) <https://x.com/Nextmode_Inc>

目次

 2026/08/12 08:31

# 【AWS】CloudFront＋ALB構成で遭遇した502（OriginCommError）の調査記録

[» AWS](https://info.nextmode.co.jp/blog/tag/aws)

[![まなべ](https://info.nextmode.co.jp/hs-fs/hubfs/%E3%83%97%E3%83%AD%E3%83%95/IMG_6316%20-%20%E3%82%B3%E3%83%94%E3%83%BC.png?width=40&name=IMG_6316%20-%20%E3%82%B3%E3%83%94%E3%83%BC.png) まなべ](https://info.nextmode.co.jp/blog/author/manabe)

共有： [facebook-f icon](http://www.facebook.com/share.php?u=https://info.nextmode.co.jp/blog/cloudfront-alb-502-sni-default-certificate) [linkedin-in icon](http://www.linkedin.com/shareArticle?mini=true&url=https://info.nextmode.co.jp/blog/cloudfront-alb-502-sni-default-certificate) [Twitter icon](https://twitter.com/intent/tweet?url=https://info.nextmode.co.jp/blog/cloudfront-alb-502-sni-default-certificate) [pinterest-p icon](http://pinterest.com/pin/create/link/?url=https://info.nextmode.co.jp/blog/cloudfront-alb-502-sni-default-certificate) [envelope icon](mailto:?body=https://info.nextmode.co.jp/blog/cloudfront-alb-502-sni-default-certificate)

## はじめに

---

こんにちは、ネクストモードの眞鍋です。

CloudFrontのオリジンにALBを設定したHTTPS構成を構築したところ、**ALBへの直接アクセスは正常なのに、CloudFront経由のアクセスだけ502エラーが多発する**事象に遭遇しました。

結論を先に言うと、犯人は「SNIとALBのデフォルト証明書の組み合わせ」でした。  
この事例を、調査の過程も含めてご紹介します。

## システム構成

---

対象のサイトは、多言語化のためにSaaS型の翻訳プロキシを挟んだ、やや特殊な多段構成です。

![cloudfront-alb-502-sni-default-certificate-01](https://info.nextmode.co.jp/hs-fs/hubfs/cloudfront-alb-502-sni-default-certificate-01.png?width=1000&height=558&name=cloudfront-alb-502-sni-default-certificate-01.png)

| リソース | 役割 |
| --- | --- |
| CloudFront① | Webアクセスの入口。`www.example.com` を割り当て。デフォルトオリジンは翻訳プロキシ |
| 翻訳プロキシ（SaaS） | 多言語化サービス。リクエストを中継してCloudFront②へ |
| CloudFront② | 中継用。代替ドメイン名なし（`xxx.cloudfront.net` のまま）。オリジンはALB |
| ALB | `origin.example.com` をCNAMEで割り当て。HTTPSリスナーには複数ドメインの証明書を割り当てており、**デフォルト証明書は別サービス用（CN=`app.example.com`）** |

ALBに `origin.example.com` というドメインを割り当てているのは、CloudFrontを経由せずに**ALBへ直接アクセスするケースが**存在するためです。

また、重要なポイントとして、CloudFront②のデフォルトビヘイビアは全ヘッダー転送（Hostヘッダーを含む）の設定になっていました。

## 発生した事象

---

`origin.example.com` をALBに割り当て、CloudFront②のオリジンドメインとして設定して構築したところ、監視ツールの「5xxErrorRate」アラートが多発しました。

- ALBへの直接アクセス（`https://origin.example.com`）は**正常に応答**する
- CloudFront経由のアクセスでは**502エラー**が発生する
- DNS・オリジン定義を見直しても、誤りは見つからず
- ALBには`origin.example.com`の証明書を割り当て済（SNI）

## 調査内容

---

### 各所のログとメトリクスの確認

まず、経路上の各リソースのログとメトリクスを確認しました。

- 前段のCloudFront①のログには、翻訳プロキシオリジンからの**502（OriginError）**が多数記録
- CloudFront②で**502（`OriginCommError`）**を確認。前段CloudFront①の502と発生時刻・件数が完全一致  
    - `time-taken` は1秒前後で、タイムアウト（30秒）ではなく**接続段階の即時失敗**
- **ALBのアクセスログには5xxの痕跡が一切なし**。ALB・ターゲットの5xxメトリクスも0
- DNS・証明書・リスナールール・オリジン定義を精査するも、誤りは見つからず  
  ※最終的にはデフォルト証明書の設定が原因でした。

 

`OriginCommError` とALBにログがないことから、502の発生源はCloudFrontでほぼ確定し、  
**HTTPリクエストがALBに到達する前、TLSハンドシェイクの段階で失敗している**可能性が高いと判断しました。

### 接続ログ・VPCフローログ：失敗区間の裏付け

さらに、ALBの**接続ログ**と**VPCフローログ**を確認しました。

| ログ | 結果 | 意味 |
| --- | --- | --- |
| ALBアクセスログ | エラーなし | HTTPリクエストは到達していない |
| ALB接続ログ | `Failed:UnmappedConnectionError` | 接続確立段階での失敗と整合 |
| VPCフローログ | 全件ACCEPT | SG/NACLによる拒否ではない |

「TLSハンドシェイクで失敗している」ことはほぼ確定しましたが、ログだけでは詳細な原因特定には至りませんでした。

## 判明した根本原因

---

原因は**CloudFront②→ALBのTLSハンドシェイクにおける証明書検証エラー**でした。

![cloudfront-alb-502-sni-default-certificate-02](https://info.nextmode.co.jp/hs-fs/hubfs/cloudfront-alb-502-sni-default-certificate-02.png?width=1000&height=491&name=cloudfront-alb-502-sni-default-certificate-02.png)

メカニズムを順に追うと次のとおりです。

1. CloudFront②は**全ヘッダー転送（Hostヘッダーを含む）の設定のため、ALBへのTLS接続時にSNIとしてHostヘッダーの値を送信**する 
     - この構成では翻訳プロキシから見たCloudFront②のドメイン、つまり **`xxx.cloudfront.net`** がSNIに入る
2. ALBのHTTPSリスナーには `xxx.cloudfront.net` に一致する証明書が存在しないため、**デフォルト証明書（CN=`app.example.com`）を返却**する
3. CloudFrontは返却された証明書に「**オリジンドメイン名**」または「**転送されるHostヘッダーのドメイン**」のいずれかが含まれることを検証する 
     - デフォルト証明書（CN=`app.example.com`）は、オリジンドメイン名（`origin.example.com`）ともHostヘッダー（`xxx.cloudfront.net`）とも不一致 → **検証失敗 → 502（OriginCommError）**

 

つまり、`origin.example.com` 用の証明書をALBのSNIの証明書リストに用意していても、CloudFront②からの接続では**SNIが `cloudfront.net` ドメインになるためその証明書は選ばれず**、別ドメイン用のデフォルト証明書が返って検証に失敗していた、という構図でした。

## 解決方法

---

対処はシンプルで、**ALBのHTTPSリスナーのデフォルト証明書を `origin.example.com` 用の証明書に変更**しました。

SNIに一致しない値（`cloudfront.net` ドメイン）が来てデフォルト証明書にフォールバックしても、そのデフォルト証明書がオリジンドメイン名と一致していれば検証は成功する、という仕組みを利用した形です。変更後、502は解消しました。

なお、より根本的な対策としては以下も検討が必要です。

- Hostヘッダー転送をやめ、必要な情報は `X-Forwarded-Host` 等のカスタムヘッダーで渡す
- 中継用CloudFrontに代替ドメイン名（CNAME）と証明書を割り当て、ALB側にも同ドメインの証明書を用意して、SNIと証明書を明示的に一致させる

## さいごに

---

「ALBへの直接アクセスは正常なのに、CloudFront経由だけ502になる」という一見不可解な事象でしたが、ひも解いてしまえば、CloudFrontの証明書検証ルールとALBのSNIによる証明書選択という、仕様どおりの振る舞いの組み合わせでした。

Hostヘッダーを転送している環境では、同じ事象を踏む可能性が十分にあります。  
CloudFrontのオリジンにALBを設定する際は、ぜひALBのデフォルト証明書にも目を向けてみてください。

### 関連記事

[![【AWS】低頻度で発生する ALB の ClientTLSNegotiationErrorCount を CloudFront ログから読み解く](https://info.nextmode.co.jp/hubfs/Blog_aws.png) 【AWS】低頻度で発生する ALB の ClientTLSNegotiationErrorCount を CloudFront ログから読み解く ![](https://info.nextmode.co.jp/hubfs/avator_yukinawa.jpg) yuki 2026/08/13](https://info.nextmode.co.jp/blog/alb-clienttlsnegotiationerrorcount-cloudfront-client-disconnect)

[![【AWS】Claude Platform on AWSの利用状況の詳細を可視化したい](https://info.nextmode.co.jp/hubfs/aws_ai.png) 【AWS】Claude Platform on AWSの利用状況の詳細を可視化したい ![](https://info.nextmode.co.jp/hubfs/Gemini_Generated_Image_pw0ms8pw0ms8pw0m.png) ホワイトバード先輩 2026/07/22](https://info.nextmode.co.jp/blog/aws-claude-platform-on-aws-visualization)

[![【Oktane26】セッション：Okta Workflows 顧客事例と今後のロードマップ](https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/oktane26.png) 【Oktane26】セッション：Okta Workflows 顧客事例と今後のロードマップ ![](https://info.nextmode.co.jp/hubfs/kusumi.png) kusumin 2026/09/24](https://info.nextmode.co.jp/blog/oktane26-workflows-flowcase)

### Category

[» 技術](https://info.nextmode.co.jp/blog/tag/技術) [» Okta](https://info.nextmode.co.jp/blog/tag/okta) [» Notion](https://info.nextmode.co.jp/blog/tag/notion) [» イベントレポート](https://info.nextmode.co.jp/blog/tag/イベントレポート) [» Netskope](https://info.nextmode.co.jp/blog/tag/netskope) [» CrowdStrike](https://info.nextmode.co.jp/blog/tag/crowdstrike) [» Notion AI](https://info.nextmode.co.jp/blog/tag/notion-ai) [» AWS](https://info.nextmode.co.jp/blog/tag/aws) [» Asana](https://info.nextmode.co.jp/blog/tag/asana) [» カルチャー](https://info.nextmode.co.jp/blog/tag/カルチャー) [» ワーケーション](https://info.nextmode.co.jp/blog/tag/ワーケーション) [» 生成AIセキュリティ対策シリーズ](https://info.nextmode.co.jp/blog/tag/生成aiセキュリティ対策シリーズ) [» Oktane25](https://info.nextmode.co.jp/blog/tag/oktane25) [» SaaS](https://info.nextmode.co.jp/blog/tag/saas) [» re:Invent](https://info.nextmode.co.jp/blog/tag/reinvent) [» AI](https://info.nextmode.co.jp/blog/tag/ai) [» リモートワーク](https://info.nextmode.co.jp/blog/tag/リモートワーク) [» Keeper](https://info.nextmode.co.jp/blog/tag/keeper) [» ネクストモードアドベントカレンダー2024](https://info.nextmode.co.jp/blog/tag/ネクストモードアドベントカレンダー2024) [» Oktane24](https://info.nextmode.co.jp/blog/tag/oktane24) [» Oktane23](https://info.nextmode.co.jp/blog/tag/oktane23) [» Asana AI](https://info.nextmode.co.jp/blog/tag/asana-ai) [» Slack](https://info.nextmode.co.jp/blog/tag/slack) [» Oktane26](https://info.nextmode.co.jp/blog/tag/oktane26) [» OIGシリーズ](https://info.nextmode.co.jp/blog/tag/oigシリーズ) [» その他](https://info.nextmode.co.jp/blog/tag/その他) [» 脱Excelシリーズ](https://info.nextmode.co.jp/blog/tag/脱excelシリーズ) [» Oktane22](https://info.nextmode.co.jp/blog/tag/oktane22) [» SysCloud](https://info.nextmode.co.jp/blog/tag/syscloud) [» Google](https://info.nextmode.co.jp/blog/tag/google) [» HubSpot](https://info.nextmode.co.jp/blog/tag/hubspot) [» Zapier](https://info.nextmode.co.jp/blog/tag/zapier) [» Azure AD](https://info.nextmode.co.jp/blog/tag/azure-ad) [» Entra ID](https://info.nextmode.co.jp/blog/tag/entra-id) [» Googleドライブ](https://info.nextmode.co.jp/blog/tag/googleドライブ) [» SentinelOne](https://info.nextmode.co.jp/blog/tag/sentinelone) [» ゼロトラスト](https://info.nextmode.co.jp/blog/tag/ゼロトラスト) [» DocuSign](https://info.nextmode.co.jp/blog/tag/docusign) [» Jamf](https://info.nextmode.co.jp/blog/tag/jamf) [» セキュリティ対策](https://info.nextmode.co.jp/blog/tag/セキュリティ対策) [» トラブルシューティング](https://info.nextmode.co.jp/blog/tag/トラブルシューティング) [» 利用者目線](https://info.nextmode.co.jp/blog/tag/利用者目線) [» 運用](https://info.nextmode.co.jp/blog/tag/運用) [» GitHub](https://info.nextmode.co.jp/blog/tag/github) [» GitHub Gist](https://info.nextmode.co.jp/blog/tag/github-gist) [» JOUG](https://info.nextmode.co.jp/blog/tag/joug) [» Notion Calendar](https://info.nextmode.co.jp/blog/tag/notion-calendar) [» Proflly](https://info.nextmode.co.jp/blog/tag/proflly) [» kintone](https://info.nextmode.co.jp/blog/tag/kintone)

[![ネクストモード株式会社](https://nextmode.co.jp/assets/images/common/logo_white.svg)](https://nextmode.co.jp/)

Service

- [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/)
- [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) 
    - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/)
    - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/)
    - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/)
    - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/)
    - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/)
    - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/)
    - [Keeperライセンス＆サポート](https://nextmode.co.jp/services/saas/keeper/)
- [AWS総合支援](https://nextmode.co.jp/services/aws/) 
    - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/)
    - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/)

Company

- [会社情報](https://nextmode.co.jp/company/)
- [サービス一覧](https://nextmode.co.jp/services/)
- [導入事例](https://nextmode.co.jp/casestudy/)
- [お知らせ](https://nextmode.co.jp/news/)
- [サステナビリティ](https://nextmode.co.jp/sustainability/)
- [採用](https://nextmode.co.jp/recruit/)
- [私たちの働き方](https://nextmode.co.jp/workstyle/)
- [カルチャー](https://nextmode.co.jp/culture/)

Contact

- [お問い合わせ](https://nextmode.co.jp/contact/)
- [資料請求](https://info.nextmode.co.jp/request/)

Media

- [セミナー](https://info.nextmode.co.jp/seminar)
- [ブログ](https://info.nextmode.co.jp/blog)
- [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/)

- [![ネクストモード公式YouTubeチャンネル](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA)
- [![ネクストモード公式Xアカウント](https://nextmode.co.jp/assets/images/common/icon_x.svg)](https://twitter.com/Nextmode_Inc)

[English](https://nextmode.co.jp/en/)

- [NTTグループカスタマーハラスメント基本方針](https://group.ntt/jp/group/customer_harassment/)
- [就活ハラスメント防止方針](https://docs.nextmode.co.jp/nextmode_recruit_harassment.pdf)

- 運用アシスタント利用規約([AWS](https://docs.nextmode.co.jp/nextmode-unyo-assistant-aws-terms-of-use.pdf)/[Azure](https://docs.nextmode.co.jp/nextmode-unyo-assistant-azure-terms-of-use.pdf))
- [日中運用支援定型約款](https://docs.nextmode.co.jp/nextmode-nittyu-unyo-shien-terms-of-use.pdf)
- [定型約款](https://docs.nextmode.co.jp/nextmode-standard-contracts.pdf)

[プライバシーポリシー](https://nextmode.co.jp/company/privacy.html)

Copyright(c) Nextmode, Inc.

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "まなべ",
    "url" : "https://info.nextmode.co.jp/blog/author/manabe"
  },
  "dateModified" : "2026-08-11T23:31:12.338Z",
  "datePublished" : "2026-08-11T23:31:12.000Z",
  "headline" : "【AWS】CloudFront＋ALB構成で遭遇した502（OriginCommError）の調査記録｜Nextmode Blog",
  "image" : [ "https://info.nextmode.co.jp/hubfs/Blog_aws.png" ],
  "mainEntityOfPage" : {
    "@id" : "https://info.nextmode.co.jp/blog/cloudfront-alb-502-sni-default-certificate",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://info.nextmode.co.jp/hubfs/nm_l_color.png"
    },
    "name" : "ネクストモード株式会社"
  }
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://nextmode.co.jp/#organization",
  "@type" : "Organization",
  "alternateName" : "Nextmode, Inc.",
  "logo" : "https://nextmode.co.jp/assets/images/common/logo_white.svg",
  "name" : "ネクストモード株式会社",
  "sameAs" : [ "https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA", "https://twitter.com/Nextmode_Inc", "https://info.nextmode.co.jp/" ],
  "url" : "https://nextmode.co.jp/"
}
```