EC2もDockerも不要でNext.jsを出せる。Lambda Web Functionsの既定URLは誰でも開ける

AWS が10月に発表した「AWS Lambda Web Functions」を使うと、EC2 も Docker も使わずに、zip を渡すだけで Next.js のサイトを HTTPS の URL で動かせます。ただし、その URL はインターネットのどこからでも届くので、そのままでは社内だけの公開になりません。

• デプロイはコマンド1つ。コードを置く S3 バケットや実行ロールもコマンドが作り、HTTPS の URL を返す

• Next.js は standalone で出力し、待ち受け先を合わせる index.js を1枚足す

• 既定のエンドポイントは認証なし。URL を知っていれば社外からも開ける

• 社内だけにするには、CloudFront を前に置いて IP で絞るか、アプリにログインを付ける

• 東京リージョンの単価と、Next.js の画像最適化などがどこまで動くかは、まだ分からない

内容は2026年10月20日時点です。材料は AWS の発表ブログ、Lambda Web Functions の開発者ガイド、Lambda の料金ページと、この発表を取り上げた Publickey の記事です。

Lambda の中で普通の Web サーバーが動く

発表は2026年10月12日です。Lambda Web Functions は、ポートで待ち受ける普通の HTTP サーバーを、アダプターなしで Lambda で動かす仕組みです。対応する例として、Express、Hono、Fastify、Next.js が挙がっています。

これまでの Lambda は、イベントを受け取る関数（ハンドラー）を書く形でした。Next.js のように「サーバーとして起動するアプリ」を載せるには、HTTP のリクエストをイベントに変換するアダプターを間に挟む必要がありました。Web Functions では、このアダプターは必要ありません。

EC2 も Docker も使わない。zip を渡すと URL が返る

開発者ガイドでは、コードは zip で渡します。サーバーを用意する手順も、コンテナイメージを作る手順もありません。

AWS CLI では、次のコマンドでデプロイします。

aws lambda-web deploy --name my-web-app --code ./my-web-app

初回は、コードを置く S3 バケットと、ログを書くための IAM の実行ロールをこのコマンドが作ります（既にあれば使い回します）。続けて関数・リビジョン（コードと設定の版）・dev という名前のエンドポイントを作り、HTTPS の URL を返します。発表ブログは、URL が返るまでを1分以内としています。

2回目からは同じコマンドで新しいリビジョンが作られ、URL は変わりません。コンソールからも作れます。

前提として必要なのは、AWS のアカウント、aws lambda-web コマンドが入った AWS CLI v2、S3 バケットと IAM ロールを作る権限（iam:PassRole を含む）です。

Next.js は standalone と index.js 1枚

Web Functions は、zip の直下にある index.js を起動します。サーバーは、Lambda が環境変数 AWS_LAMBDA_HTTP_ENDPOINT で渡すホストとポートで待ち受ける決まりです。

Next.js の standalone 出力は、待ち受け先を HOSTNAME と PORT から読みます。そこで開発者ガイドは、この2つを AWS_LAMBDA_HTTP_ENDPOINT から設定する index.js を入口にする方法を示しています。説明に沿って書くと、次の形です。

// index.js（.next/standalone の直下に置く）
const [host, port] = (process.env.AWS_LAMBDA_HTTP_ENDPOINT || 'localhost:3000').split(':');
process.env.HOSTNAME = host;
process.env.PORT = port;
require('./server.js');

もう一つ、standalone の出力には public/ と .next/static/ が入りません（Next.js 側の仕様）。この2つをコピーしないと、CSS や画像が表示されません。

手順にすると次の4つです。

1. next.config に output: 'standalone' を書いて next build

2. public/ を .next/standalone/public/ に、.next/static/ を .next/standalone/.next/static/ にコピー

3. 上の index.js を .next/standalone/ に置く

4. aws lambda-web deploy --name <名前> --code .next/standalone

このコードと手順は、ドキュメントの説明から組み立てたもので、動作は未検証です。サーバーが待ち受けていなくてもリビジョンは Active と表示されることがあるので、出したら URL を開いて確かめます。

ランタイムは Node.js 24 だけで、起動から10秒以内に待ち受けを始めないと失敗します。

「社内だけ」はネットワークでは閉じられない

以下は、開発者ガイドのネットワークのページとアクセス制御のページの内容です。

エンドポイントの URL は、インターネットから届く場所にあります。VPC の中に置く設定も、PrivateLink で社内ネットワークからだけ引く方法もありません。

VPC につなぐ設定（egress network connector）はありますが、関数から社内の DB などへ出ていく向きだけです。

誰が開けるかは、エンドポイントごとの認証の種類（AuthType）で決まります。

aws lambda-web deploy の既定は ApplicationManaged です。何も指定せずに出すと、URL を知っている人なら社外からでも開けます。URL が推測されにくくても、アクセス制御にはなりません。

逆に IamAuth にすると、ブラウザからは開けなくなります。ブラウザは AWS の署名を付けられないためです。AuthType を選ぶだけでは、社内の人がブラウザで見るサイトにはなりません。

社内向けに出すなら CloudFront を前に置く

開発者ガイドが示しているのは、エンドポイントの前に Amazon CloudFront を置く形です。

1. エンドポイントを IamAuth にする

2. CloudFront のオリジンアクセスコントロール（OAC）を設定し、署名を CloudFront に任せる

3. 関数のリソースポリシーで、その CloudFront の配信からの呼び出しを許可する

4. CloudFront に AWS WAF を付け、会社の IP アドレスからだけ通す

5. ブラウザの Host ヘッダーは転送しない（転送すると 404 になる。AllViewerExceptHostHeader を選ぶ）

ブラウザは CloudFront のドメインを開くだけで、署名は CloudFront が付けます。Lambda の URL を直接開くと、署名が無いので拒否されます（IAM で許可した AWS の利用者は、署名すれば直接呼べます）。

独自ドメインも CloudFront 側で設定します（エンドポイントには直接付けられません）。

在宅勤務などで IP では絞れないときは、アプリ側でログインを求めます。ガイドは、ApplicationManaged のまま OAuth 2.0 や OpenID Connect で認証する使い方を挙げています。ログインの仕組みは、アプリに自分で組み込みます。

なお、ApplicationManaged のまま CloudFront と WAF を前に置いても、Lambda の URL を直接開けば WAF を通らずに届きます。IP で絞るなら、IamAuth と OAC の組み合わせにします。

AWS Organizations で複数のアカウントを管理している場合は、サービスコントロールポリシー（SCP）で ApplicationManaged のエンドポイントを作らせない設定もできます。この設定の下では、--auth-type IamAuth を付けない deploy は失敗します。

制限と料金

料金ページの計算例では、月1,500万リクエストの SSR アプリ（1回あたり CPU 40ミリ秒、メモリ約0.49GB）が月25.78ドルです（米国東部。無料枠とデータ転送料は除く）。

CPU は処理している時間だけ、メモリはリクエストの合間も含めて実行環境がある間ずっと課金されます。アクセスが無い時間は実行環境がゼロまで減り、その間は払いません。代わりに、次のアクセスで起動を待つことがあります。

料金と Next.js の細部は、まだ確かめられない

公式の情報で確かめられなかったのは、次の3つです。

• 東京リージョンの単価と、無料枠が付くかどうか。料金ページに出ているのは米国東部の単価だけ

• Next.js の画像最適化（next/image）や ISR が、Web Functions 上でどこまで動くか。ドキュメントは Next.js を対応フレームワークに挙げているが、機能ごとの説明は無い

• コンテナイメージで出す方法。ドキュメントに出てくる形式は zip だけ

社内向けに試す場合、最初から --auth-type IamAuth を付けて出せば、CloudFront と WAF をつなぐ前に URL が外から開かれることはありません。東京の単価は、料金ページに出たら確かめられます。