# 08. CloudFront·HTTPS·수동 DNS · AI CLI 카드

DNS 등록은 관리자가 수동으로 수행합니다. 이 프롬프트는 DNS 변경 자동화를 요청하지 않습니다.

```ai-prompt
Robot Atlas 워크숍 08장의 HTTPS 구성을 확인하세요.
교재는 ROBOT_REPO/workshop/chapters/08-cloudfront-https.md입니다.
ROBOT_LAB의 계정·도메인 바인딩과 App 출력을 먼저 확인하세요.

할 일:
- App의 PublicUrl, CloudFrontUrl을 읽어 본인 CNAME의 정확한 이름과 값을 안내합니다.
- 권한 있는 DNS NS 위임과 현재 조회 결과를 확인합니다. DNS는 수동 등록으로 남깁니다.
- 기본 CF 주소의 308 목적지가 본인 공개 주소인지 확인합니다.
- 공개 hostname의 HTTPS, healthz, readyz, 안전하게 추린 config 상태를 확인합니다.
- reference/resources.md에서 준비한 .local/tools/verify-aws.py로
  실제 SG, TLS, Host 전달, WAF, OAC, 캐시와 세션 경계를 검사합니다.

정확한 구성:
CloudFront는 ALB 기본 DNS를 origin DomainName으로 사용하고 공개 Host를 전달합니다.
Viewer 인증서는 us-east-1, ALB origin 인증서는 서울이며 둘 다 본인 hostname을 포함합니다.
API는 캐시하지 않고 쿠키·Origin·Content-Type·X-CSRF-Token을 전달합니다.
Public ALB의 443은 CloudFront Prefix List만, ECS 8098은 ALB SG만 허용합니다.
별도 origin DNS, Lambda@Edge, VPC origin, Internal ALB를 추가하지 마세요.

진단:
정적 화면 정상/API 502이면 원본 DNS·인증서·Host·target을 구분하세요.
403은 WAF·origin 검증·쿠키/CSRF/Origin을 확인하세요.
연결 오류 문구만 보고 프런트 버그로 단정하지 말고 HTTP 상태와 Content-Type을 확인하세요.
기본 CF 주소의 정상 308을 없애거나 SG를 인터넷 전체로 열지 마세요.

운영 루트 배포 스크립트, 다른 참가자, 공유 네트워크/인증서를 변경하지 마세요.
비밀값이 포함된 CloudFront 설정 전체·listener rule·쿠키·CSRF를 출력하지 마세요.
본인 주소와 각 검증 결과, DNS 수동 작업의 완료 여부, 미확인 구간을 보고하세요.
```