AWS 側の準備（IAM ユーザーと権限）

本プラグインから AWS CloudFront に Invalidation リクエストを送るには、対応する権限を持つ IAM ユーザーのアクセスキー（Access Key ID / Secret Access Key）が必要です。

1. IAM ユーザーの作成

1. AWS マネジメントコンソールにサインインします。
2. IAM サービスを開き、「ユーザー > ユーザーを作成」を選択します。
3. 適当なユーザー名（例: mt-cloudfront-clear-caches）を入力します。
4. マネジメントコンソールへのサインインは不要なので、チェックは付けないまま「次へ」進みます。

2. 権限の付与

「ポリシーを直接アタッチする」を選択し、次のいずれかの権限を付与します。

• シンプルに付与する場合: AWS マネージドポリシー CloudFrontFullAccess をアタッチします。
• 最小権限に絞りたい場合: カスタムポリシーを作成して cloudfront:CreateInvalidation のみ許可します。サンプルポリシーは次の通りです。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloudfront:CreateInvalidation",
      "Resource": "arn:aws:cloudfront::<ACCOUNT_ID>:distribution/<DISTRIBUTION_ID>"
    }
  ]
}

3. アクセスキーの発行

1. 作成したユーザーの詳細画面を開きます。
2. 「セキュリティ認証情報」タブで「アクセスキーを作成」をクリックします。
3. 用途として「AWS の外部で実行されるアプリケーション」を選択します。
4. 表示された「アクセスキー ID」と「シークレットアクセスキー」を控えます。シークレットはこのとき以降は表示できませんのでご注意ください。

4. Distribution ID の確認

AWS マネジメントコンソールの「CloudFront > ディストリビューション」一覧で、無効化したい Distribution の ID（E で始まる文字列）を控えておきます。