【初心者必見】Amazon S3のユースカジノ入金不要ボーナス受け取れない

投稿日: 2021/03/30

こんにちは、高橋です。
Amazon S3はデータの保管に非常に便利なサービスです。しかしながら、S3内部のオブジェクトに関しては同じアカウント内のIAMユーザは勿論、他のAWSアカウントのユーザ、さらにはオブジェクトを公開した場合、外部からでもユースカジノ入金不要ボーナス受け取れないできてしまいます。そのため、S3にはバケット/オブジェクトへのユースカジノ入金不要ボーナス受け取れないを制御するためのユースカジノ入金不要ボーナス受け取れないコントロールの方法が3種類用意されています。

今回はS3のユースカジノ入金不要ボーナス受け取れないの方法とお客様からよく問い合わせを受けるユースカジノ入金不要ボーナス受け取れないの実際の設定例についてご紹介します。

Amazon S3のユースカジノ入金不要ボーナス受け取れない

Amazon S3のユースカジノ入金不要ボーナス受け取れないの方法は下記の3種類の方法があります。

1. IAMポリシー
通常のAWSサービスへのユースカジノ入金不要ボーナス受け取れないと同様にポリシードキュメントにてIAMユーザ/ロールに対してできるアクションやリソースの制御を行います。S3の場合、バケット、フォルダへのユースカジノ入金不要ボーナス受け取れないを行うことができます。
2. バケットポリシー
S3バケット毎にポリシードキュメントにてユースカジノ入金不要ボーナス受け取れないを行います。ユースカジノ入金不要ボーナス受け取れないはアカウント内のIAMの他にクロスアカウント(他のAWSアカウント)のユースカジノ入金不要ボーナス受け取れないを行うことができます。
3. Access Control List（ACL）
バケット及びオブジェクト単位で細かなユースカジノ入金不要ボーナス受け取れないを行うことができます。アカウント内のIAMの他に、外部からのアクセスに対しても制御を行うことができます。

ACLに関してはIAMポリシーやバケットポリシーでDenyポリシーが設定されていた場合、IAMポリシー/バケットポリシーの拒否が優先され、個別に許可/拒否を設定するよりもバケットを分けてしまった方が管理が楽になるケースが多いため、通常の運用では利用されるケースは稀な機能となります。

そのため、基本的にアカウント内のIAMに対してアクセスを行いたい場合はIAMポリシーを、S3バケット単位でユースカジノ入金不要ボーナス受け取れないを行いたい場合やクロスアカウントでの利用を想定する場合はバケットポリシーを用いるのが一般的な使い分けになると考えられます。

よくあるユースカジノ入金不要ボーナス受け取れない例

お客様から問い合わせを受けるS3のユースカジノ入金不要ボーナス受け取れないに関する質問は大きく下記の2つとなります。

ユーザ毎にユースカジノ入金不要ボーナス受け取れないできるS3バケットを制限したい
S3バケットに特定のユーザしかユースカジノ入金不要ボーナス受け取れないさせたくない

今回は私の備忘を含めて、上記2つのユースカジノ入金不要ボーナス受け取れないの設定例を記載します。
なお、Action部は制御したい内容に適宜変更を行ってください。

IAMユーザに特定のS3バケットへのみユースカジノ入金不要ボーナス受け取れないを制限する

IAMユーザ毎にユースカジノ入金不要ボーナス受け取れないできるS3バケットを制限する場合は、IAMポリシーを用いて制限を行います。
実際に設定するIAMポリシーは以下の様になります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ユースカジノ 入金不要ボーナス受け取れない:ListAllMyBuckets"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ユースカジノ 入金不要ボーナス受け取れない:ListBucket",
                "ユースカジノ 入金不要ボーナス受け取れない:GetObject"
            ],
            "Resource": [
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>",
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>/*"
            ]
        }
    ]
}

ただし、AWSコンソールからではなく、AWS CLI等で直接S3バケットにユースカジノ入金不要ボーナス受け取れないする場合は「s3:ListAllMyBuckets」を削除しても問題ありません。

特定のIAMユーザのみにS3バケットへのユースカジノ入金不要ボーナス受け取れないを制限する

あるS3バケットに特定のIAMユーザしかユースカジノ入金不要ボーナス受け取れないできない様に制限する場合は、バケットポリシーを用いて制限を行います。
実際に設定するIAMポリシーは以下のようになります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": " ユースカジノ 入金不要ボーナス受け取れない:GetObject",
            "Resource": [
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::source210219-01",
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::source210219-01/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:username": "<ユーザ名>"
                }
            }
        }
    ]
}

最近つまずいたユースカジノ入金不要ボーナス受け取れない

最後に最近つまずいたS3のユースカジノ入金不要ボーナス受け取れないについて紹介します。

それは特定のIAMユーザのみにS3バケットへのユースカジノ入金不要ボーナス受け取れないを制限していた環境にS3のレプリケーションを実施したときでした。その環境でレプリケーションの設定を実施しましたが、設定は完了したものの、実際にオブジェクトをソースバケットに保存してもレプリケーションは失敗しました。原因を調べてみるとS3のレプリケーションの実行はレプリケーションの設定時に指定したIAMロールの権限で実施されるのに対して、バケットポリシーではこのロールに対してユースカジノ入金不要ボーナス受け取れない許可を行っていなかったためでした。

そこで先程の「特定のIAMユーザのみにS3バケットへのユースカジノ入金不要ボーナス受け取れないを制限する」を元に、レプリケーション実行用のIAMロールにもユースカジノ入金不要ボーナス受け取れないを許可しようとしましたが、ポリシーの記載が「aws:username」となっており、IAMロールを追加することができませんでした。

このようにIAMユーザとIAMロールの双方にユースカジノ入金不要ボーナス受け取れない許可を与える必要がある場合は、「aws:username」の代わりに「aws:userId」を使用し、ユーザID、ロールID設定する必要があります。なお、ユーザID、ロールIDはAWS CLIを用いて調べることが可能です。

$ aws iam get-role --role-name sample
  {
      "Role": {
          ・
          ・
          ・
      "MaxSessionDuration": 3600,
      "RoleId": "AROXXXXXXXXXXXXXXXXXX",
      "CreateDate": "2019-01-06T09:04:03Z",
          ・
          ・
          ・
  }

実際に設定するバケットポリシーは以下の様になります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "ユースカジノ 入金不要ボーナス受け取れない:*",
            "Resource": [
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>",
                "arn:aws:ユースカジノ 入金不要ボーナス受け取れない:::<バケット名>/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "aws:userId": [
                        "<ユーザID>",
                        "<ロールID>:*"
                    ]
                }
            }
        }
    ]
}