AWS S3 で特定のパスだけ権限があるバケットに接続するには

Question

AWS の超初心者です。

S3 に設置された CSV ファイルを PHP で定期的に取得する処理を作成する必要があります。

AWS SDK for PHP を composer でインストールしています。
勉強用に個人で作成したバケットには接続でき、
下記のスクリプトでファイル一覧が表示できました。

try {
    $s3 = new S3Client([
        'credentials' => [
            'key'    => AWS_ACCESS_KEY_ID,
            'secret' => AWS_SECRET_ACCESS_KEY,
        ],
        'region'      => 'ap-northeast-1',
        'version'     => 'latest',
    ]);
  
    // バケットを指定
    $objects = $s3->listObjects([
        'Bucket' => S3_BUCKET_NAME
    ]);
    foreach ($results as $result) {
        foreach ($result['Contents'] as $object) {
            echo $object['Key'] . "\n";
        }
    }
} catch (Exception $e) {
    var_dump($e);
}

ここからが本題です。

S3 への接続情報をお客様から頂き、AWS CLI や S3 ブラウザで一覧を取得、ダウンロードはできました。

お客様から頂いたバケット名ですが、
バケット名/jpn/hoge/ といった感じで、パス名になっています。

上記のスクリプトをお客様の接続情報に書き換えて実行すると、
403: Forbidden で、エラーコードが SignatureDoesNotMatch と表示されます。

個人的な考えですが、スクリプトは「バケット名」の指定であるのに対し、
「パス名」になっているのが問題だと思います。
また、「バケット名」、つまりパスのルートには権限がありません。
バケット名だけ指定すると、エラーコードは AccessDenied となります。

※ S3 ブラウザでも、接続はできるのですが、Failed -AccessDenied:AccessDenied と
「Tasks」タブに表示されており、ルートのパスをクリックすると AccessDenied となるので、
バケット名の直下にアクセス権限がないのは明らかです。

お聞きしたいのは、AWS SDK for PHP でパス指定して接続が出来るのか、という点です。
プログラムでアクセスする場合、パスを指定してのアクセスは無理なのでしょうか？
無理であれば、ルート直下にファイルを置いてもらえるバケットを作成できないか、
お客様に問い合わせないといけません。

ご教示のほど、よろしくお願い致します。

Comments

[退会済みユーザー]

SignatureDoesNotMatch 署名が間違えている だからアカウントの設定ミスじゃないのか

[Web_akira]

AWS CLI と S3 ブラウザで一覧を取得、ダウンロードはできていますので、
「パス名」にアクセスする署名は正しいのだと思います。

プログラムで接続する時に「バケット名」を指定する必要があり、
その場所の署名ではありません（与えられているのは「パス名」への接続権限だけ）。

バケット名（=ルート）の権限がないので、署名が一致しないということだと思っています。

[Web_akira]

そもそもの疑問なのですが、プログラムでコントロールするバケットを用意する場合、
内部にディレクトリを作って、そこだけに権限を与えて使うものでしょうか？

お客様も外部と連携してS3を使うのは初めてのようなので、使い方として間違っているような気もします。

バケット名を作成（=ここに署名を作る）、その中でファイルの入出力を行ったり
ディレクトリの書き換えを行う、というのはしっくりきます。

バケットの中にフォルダを作成して、権限を付与するというやり方は出来ないような気がしますが、
事例としてあるのであれば教えて頂きたく思います。その方向で調べますので。

Answer 1

先方が意図的に特定ディレクトリに権限を絞っている可能性もありますね。
一応ListObjectsのオプションにデリミタがあるのでそこに適切にパスを指定すれば見られるかとは思います。
https://docs.aws.amazon.com/aws-sdk-php/v3/api/api-s3-2006-03-01.html#listobjects
念の為権限周りも先方に確認したほうが良いかとは思います。

もっとも、ダウンロードが目的であれば、ファイル名が決まっているのならGetObjectだけでもいいような気はしますが…。

Comments

[Web_akira]

デリミタがあるのですね、有益な情報ありがとうございます。
指定したところ、エラーコードは相変わらず出ていますが、Access Denied に変わりました。
現在、先方に確認中です。状況が分かりましたら、また追記致します。

[Web_akira]

ファイル名が決まっているか、ちょっとあやふやな状況なのですが、
GetObject でファイルを取得することが出来ました。

$result = $s3->getObject([
'Bucket' => S3_BUCKET_NAME,
'Key' => "/jpn/hoge/hoge.csv"
]);

分かってしまえば簡潔なコードですね…。
ありがとうございます、本当に助かりました。

ただ、バケットの中の特定のパス内の不特定なファイル一覧、を取得する場合は
このような状況では困ってしまいますね。勉強になりました。