S3の特定バケットにだけアクセスできるユーザーをIAMで作成する

記事内に広告を含みます

この記事には広告を含む場合があります。

記事内で紹介する商品を購入することで、当サイトに売り上げの一部が還元されることがあります。

1 特定の Amazon S3 バケットのみ接続を許可する
- 1.1 特定の S3 バケットのみアクセスできるユーザーを作成する手順
- 1.2 Cyberduck でファイルをアップロードするときの注意点
2 Amazon S3 にて特定のフォルダのみ編集権限があるユーザーを作成する

特定の Amazon S3 バケットのみ接続を許可する

Amazon S3 を活用していると、このユーザーには指定した S3 バケットだけアクセスさせたい！という話は出てくるのではないでしょうか？

しかし規定されている権限は、全ての S3 バケットに対する機能のみ定義されています。

例えば S3 バケットを操作する機能として、

〇バケットの権限
・バケット一覧を見る権限「s3:ListAllMyBuckets」
・バケットを作成する権限「s3:CreateBucket」
・バケットを削除する権限「s3:DeleteBucket」

〇バケット内のファイルに対する権限
・ファイルを閲覧する権限「s3:GetObject」
・ファイルの書き込み権限「s3:PutObject」
・ファイルの削除する権限「s3:DeleteObject」

などがあります。

全体を操作する方法はわかるのですが、ではどうすればバケット単位にアクセスが制限できるかを確認してみたいと思います。

特定の S3 バケットのみアクセスできるユーザーを作成する手順

特定の S3 バケットにアクセスできるユーザーは、通常のユーザー作成と同じく IAM を利用します。

先ほど記述したように既定の権限では対応できないので、「既存のポリシーを直接アタッチ」を選択します。

ポリシーの作成に遷移するので、JSON の入力欄を開きます。
JSON に設定する内容は下記の通りです。

〇特定のバケットのみにアクセスできるユーザー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::(バケット名)",
                "arn:aws:s3:::(バケット名)/*"
            ]
        }
    ]
}

{

"Version": "2012-10-17",

"Statement": [

{

"Effect": "Allow",

"Action": "s3:*",

"Resource": [

"arn:aws:s3:::(バケット名)",

"arn:aws:s3:::(バケット名)/*"

]

}

]

}

設定を調整したい時は、AWS 公式のバケットポリシーの定義へのリンクを貼っておきますので、確認の上で調整してください。

〇ポリシーでのアクセス許可の指定
https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/dev/using-with-s3-actions.html

ポリシーの確認画面に遷移した後、作成したポリシーに対する名前を設定します。

ポリシーの一覧に作成したポリシー名が追加されるので、選択すれば設定完了です。

Cyberduck でファイルをアップロードするときの注意点

権限を制限した場合の注意点として、Cyberduck などのファイルをアップロードするソフトで、S3 バケットを指定せずアクセスしようとするとエラーが発生します。

「s3:ListAllMyBuckets」権限がないので、下記の赤枠で囲った部分と同じようにパスにバケット名を入力してください。

Amazon S3 にて特定のフォルダのみ編集権限があるユーザーを作成する

蛇足として
・特定の S3 バケット
・特定のフォルダ
に対してのみ編集できるユーザーを作成する方法も載せておきます。

バケットポリシーを記入する欄に下記を入力すればOKです。

〇特定のフォルダのみに編集権限があるユーザー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::(バケット名)"
            ]
        },
        {
            "Effect": "Deny",
            "Action": [
                "s3:DeleteBucket",
                "s3:CreateBucket"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::(バケット名)/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::(バケット名)/(フォルダ名)/*"
            ]
        }
    ]
}