Erro ao configurar o route53 com Cloudfront

Olá.

Você configurou o domínio alternativo conforme descrito no documento abaixo?
Se essa configuração não for feita, um erro 403 ocorrerá mesmo que um registro de alias do CloudFront seja adicionado no Route 53.
https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/CreatingCNAME.html

Parece que você está enfrentando um problema comum ao configurar o Route 53 com o CloudFront. O erro 403 que você está recebendo geralmente indica um problema de permissão ou configuração incorreta. Vamos abordar alguns pontos importantes para resolver esse problema:

1. Configuração do CloudFront: Certifique-se de que você adicionou seus domínios (meudominio.com.br e www.meudominio.com.br) como Nomes de Domínio Alternativos (CNAMEs) nas configurações da sua distribuição CloudFront. Sem isso, o CloudFront não reconhecerá as solicitações vindas dos seus domínios personalizados.

2. Certificado SSL: Como você mencionou que tem um certificado SSL comprado fora da AWS, você precisa importá-lo para o AWS Certificate Manager (ACM) na região Leste dos EUA (Norte da Virgínia). Depois, associe esse certificado à sua distribuição CloudFront.

3. Configuração do Route 53: Verifique se seus registros A no Route 53 estão corretamente configurados como registros de alias apontando para sua distribuição CloudFront, e não diretamente para a instância EC2.

4. Política do Bucket S3 (se estiver usando): Se você estiver usando um bucket S3 como origem, certifique-se de que a política do bucket permite o acesso do CloudFront ao conteúdo.

5. Cache do CloudFront: Tente limpar o cache do CloudFront criando uma invalidação para todos os objetos ("/*") em sua distribuição.

6. Configuração do Apache: Verifique se o Apache na sua instância EC2 está configurado para aceitar solicitações do CloudFront. Pode ser necessário ajustar as configurações do VirtualHost para reconhecer o cabeçalho Host enviado pelo CloudFront.

7. WAF: Como você mencionou que deseja usar o WAF, certifique-se de que as regras do WAF não estão bloqueando o tráfego inadvertidamente.

8. Propagação de DNS: Lembre-se de que as alterações de DNS podem levar até 48 horas para se propagar globalmente. Seja paciente e continue verificando.

Se após verificar todos esses pontos você ainda estiver enfrentando problemas, pode ser necessário revisar os logs do CloudFront e do Apache para obter mais detalhes sobre o erro 403. Além disso, considere entrar em contato com o suporte da AWS para obter assistência adicional, especialmente se você estiver tendo problemas com a integração do WAF.
Sources
Configured Route53 URL is not working with Cloud Front URL | AWS re:Post
HTTP 403 status code (Permission Denied) - Amazon CloudFront
Error 403 - Route53 | AWS re:Post
How to configure DNS for a Wordpress site on AWS EC2 Route 53 settings behind CouldFront? | AWS re:Post

As sugestões foram executadas, o problema ainda continua

O erro 403 está acontecendo porque o CloudFront não reconhece seu domínio personalizado. Isso normalmente acontece por dois motivos:

1. Você ainda não adicionou seu domínio (ex: meudominio.com.br e www.meudominio.com.br) como CNAME na configuração do CloudFront.

2. O certificado SSL, por ser externo, precisa ser importado manualmente no ACM da mesma região que sua distribuição CloudFront está usando.

Para corrigir:

1. Importe seu certificado SSL no AWS Certificate Manager (ACM)

Vá até o ACM na região da sua distribuição.

Clique em “Importar certificado”.

Cole o conteúdo do seu .crt, .key e (se tiver) o CA Bundle.

2. Atualize o CloudFront

Vá na sua distribuição CloudFront.

Clique em “Editar” na seção “General”.

Em Alternate Domain Names (CNAMEs), adicione:

meudominio.com.br

www.meudominio.com.br

Em SSL certificate, escolha o certificado que você acabou de importar.

Salve.

3. Configure os registros no Route 53

Crie (ou edite) os registros tipo A (Alias) para:

meudominio.com.br

www.meudominio.com.br

Aponte ambos para sua distribuição CloudFront.

4. Teste novamente no navegador

Se tudo estiver certo, agora o domínio personalizado vai funcionar com HTTPS e sem erro 403. E se quiser usar WAF, ele já vai estar aplicando na distribuição CloudFront normalmente.