S3クロスアカウントアクセスについて段階的に説明してみました。

1. わかりづらい
S3クロスアカウント
アクセス許可に立ち向かおう
2018/3/23
AWS事業部 豊崎隆
1

2. スライドは後で入手することが出来ますので
発表中の内容をメモする必要はありません。
写真撮影をする場合は
フラッシュ・シャッター音が出ないようにご配慮ください

3. 3自己紹介
豊崎 隆
• クラスメソッド株式会社
• AWS事業部
• アーキテクトグループ所属
• 2017年1月入社
• ソリューションアーキテクト
• CloudFormationとWorkSpacesが
好きです

4. 4Agenda
 本日、目指すところ
 S3の権限で出てくるわかりづらいこと
 段階的に理解するS3のクロスアカウントアクセス
 まとめ

5. 5本日、目指すところ
本日、理解したい内容

6. 6本日、目指すところ
「AWSアカウント：A」が所有するS3バケット内の
「AWSアカウント：B」が置いたオブジェクトに対して
「AWSアカウント：C」のIAMユーザがアクセスする方法

7. 7S3の権限で出てくるわかりづらいこと
S3の権限の話になると
出てくるわかりづらい言葉たち

8. 8S3の権限で出てくるわかりづらいこと
 バケット所有者
 オブジェクト所有者
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL
 Trust policy

9. 9S3の権限で出てくるわかりづらいこと
 バケット所有者
 オブジェクト所有者
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL
 Trust policy

10. 10S3の権限で出てくるわかりづらいこと
 バケット所有者
・バケットを所有しているAWSアカウント

11. 11S3の権限で出てくるわかりづらいこと
 バケット所有者
 オブジェクト所有者
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL
 Trust policy

12. 12S3の権限で出てくるわかりづらいこと
 バケット所有者
 オブジェクト所有者
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL
 Trusted policy

13. 13S3の権限で出てくるわかりづらいこと
 オブジェクト所有者
・オブジェクトを所有しているAWSアカウント

14. 14S3の権限で出てくるわかりづらいこと
 バケット所有者
 オブジェクト所有者
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL
 Trust policy

15. 15S3の権限で出てくるわかりづらいこと
複数ある権限制御の方法が
S3の権限をわかりづらくしている
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL

16. 16S3の権限で出てくるわかりづらいこと
頑張って理解してみましょう

17. 17S3の権限で出てくるわかりづらいこと
 User policy
IAMに利用するポリシー
- AWSアカウント内のIAMユーザ/ロールに対する
アクセス許可の管理を行えます

18. 18S3の権限で出てくるわかりづらいこと
 User policy
User policyを利用したアクセス許可の管理イメージ
・許可したい権限に応じた
IAMポリシーを割り当てます
読み取りできるバケット
Aさん：xyz
Bさん：abc,xyz
C-Fさん：abc

19. 19S3の権限で出てくるわかりにくいこと
 Bucket policy
S3 Bucketに対するポリシー
以下のケースで利用します
- バケット所有者が
AWSアカウント内のIAMユーザ/ロールに対して
アクセス許可の管理を行う場合
- クロスアカウントのアクセス許可を管理する場合

20. 20S3の権限で出てくるわかりにくいこと
 Bucket ACL
S3 Bucketに対するアクセスコントロールリスト
推奨されるケースは上記一つだけです。
Amazon S3のログ配信グループに書き込みアクセスを許可する場合
※S3のアクセスログを記録するために使用

21. 21S3の権限で出てくるわかりにくいこと
 Object ACL
個々のS3 オブジェクトに対する
アクセスコントロールリスト
バケットの所有者が、オブジェクトの所有者ではない場合、
オブジェクトへのアクセスを管理する、唯一の方法です
バケットの所有者＝オブジェクトの所有者 の場合は
Bucket policyやUser policyで代用可能です。

22. 22S3の権限で出てくるわかりづらいこと
そしてもう一つ
わかりづらいこと

23. 23S3の権限で出てくるわかりづらいこと
 バケット所有者
 オブジェクト所有者
 User policy(IAMに利用)
 Bucket policy
 Bucket ACL
 object ACL
 Trust policy

24. 24S3の権限で出てくるわかりにくいこと
 Trust Policy
別のAWSアカウントおよびIAMユーザに対して
権限を委譲する仕組み
詳しくは弊社ブログをご参照ください
参考： https://dev.classmethod.jp/cloud/aws/iam-role-and-assumerole/

25. 25S3の権限で出てくるわかりにくいこと
結局どうすればS3のオブジェクトにアクセスできるの？

26. 26S3の権限で出てくるわかりにくいこと
IAMユーザ/ロールがS3のオブジェクトにアクセスするには
１）自分が所属するAWSアカウントからの許可
２）アクセスしたいリソースを所有するAWSアカウントからの許可
２－１）バケット所有者＝オブジェクト所有者の場合
・バケット兼オブジェクト所有者からの許可
２－２）バケット所有者≠オブジェクト所有者の場合
・バケット所有者からの許可
・オブジェクト所有者からの許可
１）＋２）が満たされている必要があります。

27. 27段階的に理解する：４つのケース
ここからが本番

28. 28段階的に理解する：４つのケース
１）１つのAWSアカウント内で完結する場合
２）２つのAWSアカウントが登場し、
別のAWSアカウントのS3bucketにオブジェクトを置きたい場合
３）２つのAWSアカウントが登場し、
２）で置かれたオブジェクトに
置かれた側のAWSアカウント内からアクセスしたい場合
４）３つのAWSアカウントが登場し、
２）で置かれたオブジェクトに
３つめのAWSアカウント側からアクセスしたい場合

29. 29段階的に理解する：その１
１）１つのAWSアカウント内で完結する場合
＞バケット所有者がIAMユーザーにバケットのアクセス許可を付与
BucketPolicyの代わりに
UserPolicyで許可でもOK

30. 30思い出してほしいこと
 Object ACL
個々のS3 オブジェクトに対する
アクセスコントロールリスト
バケットの所有者が、オブジェクトの所有者ではない場合、
オブジェクトへのアクセスを管理する、唯一の方法です
バケットの所有者＝オブジェクトの所有者 の場合は
Bucket policyやUser policyで代用可能です。

31. 31段階的に理解する：その２
２）２つのAWSアカウントが登場し、
別のAWSアカウントのS3にオブジェクトを置きたい場合
＞バケット所有者がクロスアカウントアクセス許可を付与

32. 32思い出してほしいこと
 Bucket policy
S3 Bucketに対するポリシー
以下のケースで利用します
- バケット所有者が
AWSアカウント内のIAMユーザ/ロールに対して
アクセス許可の管理を行う場合
- クロスアカウントのアクセス許可を管理する場合

33. 33段階的に理解する：その３
３）２つのAWSアカウントが登場し、２）で置かれたオブジェクトに
置かれた側のAWSアカウント内からアクセスしたい場合
＞バケット所有者が自分の所有してないオブジェクトへの
アクセス許可をユーザーに付与

34. 34思い出してほしいこと
 Object ACL
個々のS3 オブジェクトに対する
アクセスコントロールリスト
バケットの所有者が、オブジェクトの所有者ではない場合、
オブジェクトへのアクセスを管理する、唯一の方法です
バケットの所有者＝オブジェクトの所有者 の場合は
Bucket policyやUser policyで代用可能です。

35. 35段階的に理解する：その４
４）３つのAWSアカウントが登場し、２）で置かれたオブジェクトに
３つめのAWSアカウント側からアクセスしたい場合
＞バケット所有者が自分が所有してないオブジェクトへの
クロスアカウントアクセス許可を付与

36. 36思い出して、ちょっと考える
 Trust Policy
別のAWSアカウントおよびIAMユーザに対して
権限を委譲する仕組み
なぜTrust Policyを使うのか？
＞バケット所有者とオブジェクト所有者が異なる場合、
バケット所有者はオブジェクトに対する権限を
他のAWSアカウントに委譲することはできないため

37. 37段階的に理解する：４つのケース
→IAMユーザ視点で考えるとすべてのケースで以下を満たす
・所属するAWSアカウントからのS3アクセス許可
・リソースを所有するAWSアカウントからのアクセス許可
・ バケット
・オブジェクト

38. 38まとめ
S3で権限管理を行うときは
IAM User目線で２点を確認すればOK！
正しい権限で正しいS3ライフを送りましょう

39. 39参考
本日ご紹介した4つのケースがまとまった
AWSのチュートリアルがありますので、ご参考ください。
参考：Amazon S3 リソースへのアクセスの管理
https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/dev/example-walkthroughs-managing-
access.html

40. 40謝辞
ご清聴ありがとうございました！

41. 41