【初心者必見】Amazon ユースカジノ入金不要ボーナス受け取れないのアクセス制御

投稿日: 2021/03/30

こんにちは、高橋です。
Amazon ユースカジノ入金不要ボーナス受け取れないはデータの保管に非常に便利なサービスです。しかしながら、ユースカジノ入金不要ボーナス受け取れない内部のオブジェクトに関しては同じアカウント内のIAMユーザは勿論、他のAWSアカウントのユーザ、さらにはオブジェクトを公開した場合、外部からでもアクセスできてしまいます。そのため、ユースカジノ入金不要ボーナス受け取れないにはバケット/オブジェクトへのアクセスを制御するためのアクセスコントロールの方法が3種類用意されています。

今回はユースカジノ入金不要ボーナス受け取れないのアクセス制御の方法とお客様からよく問い合わせを受けるアクセス制御の実際の設定例についてご紹介します。

Amazon ユースカジノ入金不要ボーナス受け取れないのアクセス制御

Amazon ユースカジノ入金不要ボーナス受け取れないのアクセス制御の方法は下記の3種類の方法があります。

1. IAMポリシー
通常のAWSサービスへのアクセス制御と同様にポリシードキュメントにてIAMユーザ/ロールに対してできるアクションやリソースの制御を行います。ユースカジノ入金不要ボーナス受け取れないの場合、バケット、フォルダへのアクセス制御を行うことができます。
2. ユースカジノ入金不要ボーナス受け取れないポリシー
ユースカジノ入金不要ボーナス受け取れないバケット毎にポリシードキュメントにてアクセス制御を行います。アクセス制御はアカウント内のIAMの他にクロスアカウント(他のAWSアカウント)のアクセス制御を行うことができます。
3. Access Control List（ACL）
バケット及びオブジェクト単位で細かなユースカジノ入金不要ボーナス受け取れないを行うことができます。アカウント内のIAMの他に、外部からのアクセスに対しても制御を行うことができます。

ACLに関してはIAMポリシーやユースカジノ入金不要ボーナス受け取れないポリシーでDenyポリシーが設定されていた場合、IAMポリシー/ユースカジノ入金不要ボーナス受け取れないポリシーの拒否が優先され、個別に許可/拒否を設定するよりもユースカジノ入金不要ボーナス受け取れないを分けてしまった方が管理が楽になるケースが多いため、通常の運用では利用されるケースは稀な機能となります。

そのため、基本的にアカウント内のIAMに対してアクセスを行いたい場合はIAMポリシーを、ユースカジノ入金不要ボーナス受け取れないバケット単位でアクセス制御を行いたい場合やクロスアカウントでの利用を想定する場合はバケットポリシーを用いるのが一般的な使い分けになると考えられます。

よくあるユースカジノ入金不要ボーナス受け取れない例

お客様から問い合わせを受けるユースカジノ入金不要ボーナス受け取れないのアクセス制御に関する質問は大きく下記の2つとなります。

ユーザ毎にアクセスできるユースカジノ入金不要ボーナス受け取れないバケットを制限したい
ユースカジノ入金不要ボーナス受け取れないバケットに特定のユーザしかアクセスさせたくない

今回は私の備忘を含めて、上記2つのユースカジノ入金不要ボーナス受け取れないの設定例を記載します。
なお、Action部は制御したい内容に適宜変更を行ってください。

IAMユーザに特定のユースカジノ入金不要ボーナス受け取れないバケットへのみアクセスを制限する

IAMユーザ毎にアクセスできるユースカジノ入金不要ボーナス受け取れないバケットを制限する場合は、IAMポリシーを用いて制限を行います。
実際に設定するIAMポリシーは以下の様になります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ユースカジノ 入金不要ボーナス受け取れない:ListAllMyBuckets"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ユースカジノ 入金不要ボーナス受け取れない:ListBucket",
                "ユースカジノ 入金不要ボーナス受け取れない:GetObject"
            ],
            "Resource": [
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>",
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>/*"
            ]
        }
    ]
}

ただし、AWSコンソールからではなく、AWS CLI等で直接ユースカジノ入金不要ボーナス受け取れないバケットにアクセスする場合は「ユースカジノ入金不要ボーナス受け取れない:ListAllMyBuckets」を削除しても問題ありません。

ユースカジノ入金不要ボーナス受け取れない

あるユースカジノ入金不要ボーナス受け取れないバケットに特定のIAMユーザしかアクセスできない様に制限する場合は、バケットポリシーを用いて制限を行います。
実際に設定するIAMポリシーは以下のようになります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": " ユースカジノ 入金不要ボーナス受け取れない:GetObject",
            "Resource": [
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::source210219-01",
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::source210219-01/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:username": "<ユーザ名>"
                }
            }
        }
    ]
}

最近つまずいたユースカジノ入金不要ボーナス受け取れない

最後に最近つまずいたユースカジノ入金不要ボーナス受け取れないのアクセス制御について紹介します。

それはユースカジノ入金不要ボーナス受け取れないしていた環境にS3のレプリケーションを実施したときでした。その環境でレプリケーションの設定を実施しましたが、設定は完了したものの、実際にオブジェクトをソースバケットに保存してもレプリケーションは失敗しました。原因を調べてみるとS3のレプリケーションの実行はレプリケーションの設定時に指定したIAMロールの権限で実施されるのに対して、バケットポリシーではこのロールに対してアクセス許可を行っていなかったためでした。

そこで先程の「ユースカジノ入金不要ボーナス受け取れない」を元に、レプリケーション実行用のIAMロールにもアクセスを許可しようとしましたが、ポリシーの記載が「aws:username」となっており、IAMロールを追加することができませんでした。

このようにIAMユーザとIAMロールの双方にユースカジノ入金不要ボーナス受け取れない許可を与える必要がある場合は、「aws:username」の代わりに「aws:userId」を使用し、ユーザID、ロールID設定する必要があります。なお、ユーザID、ロールIDはAWS CLIを用いて調べることが可能です。

$ aws iam get-role --role-name sample
  {
      "Role": {
          ・
          ・
          ・
      "MaxSessionDuration": 3600,
      "RoleId": "AROXXXXXXXXXXXXXXXXXX",
      "CreateDate": "2019-01-06T09:04:03Z",
          ・
          ・
          ・
  }

実際に設定するユースカジノ入金不要ボーナス受け取れないポリシーは以下の様になります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "ユースカジノ 入金不要ボーナス受け取れない:*",
            "Resource": [
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>",
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "aws:userId": [
                        "<ユーザID>",
                        "<ロールID>:*"
                    ]
                }
            }
        }
    ]
}