AWS S3とIAMロール間でのアクセス管理について

Question

AWSのS3へのアクセス権限は
・S3バケットポリシーで対象のIAMロールに対してアクセスを許可する
・IAMロール側に対して対象のS3バケットへのアクセス許可ポリシーを付与する
この両方を満たしたときのみアクセス可能であり、どちらかが満たされていなければアクセスできない
この理解であっていますか？

Answer 1

まず「S3へのアクセス」といったときにS3の何に対するアクセスかを意識する必要があります。
またS3自体にもたくさんアクセスコントロールの概念があります。
S3のアクセスコントロール全体についてもう少し理解を深めましょう。

• バケットポリシーは必須ではなく、IAMロールやIAMユーザに権限があればアクセスが可能です。
  少し補足をすると、IAMによって制御しているのは「S3というサービスのAPIに対するアクセス」です。
• バケットポリシーではIAMのみならず、色んなものを対象にアクセスコントロールができます。
  必ずしもIAMとのみ組み合わせるものではありません。許可だけでなく拒否もできます。

　　　　例えばIP制限とかもできますし、AWSの別のサービスからのアクセスを許可するなんてこともできます。
バケットポリシーを使えば非常に多岐に渡るアクセスコントロールが可能です。
バケットポリシーの例
S3バケットポリシーの具体例で学ぶAWSのPolicyドキュメント
プリンシパル
Amazon S3 のアクション
Amazon S3 の条件キー

• ACL によるアクセス管理を行うこともできます

ただ、個人的にはあまりACLは使わないですね。

• 単にリソースに対する参照を許可したいなら、S3上のオブジェクトを公開することが出来ます
• S3上のオブジェクトの公開とはまた別に、S3で静的サイトをホスティングする設定もできます
• S3のAPIに対するアクセス制御という意味であれば、IAMポリシーによる制御もできます
• 一時的な公開として、Pre-Signed URLを発行して有効期限付きでダウンロード/アップロードをさせることも可能です。

【AWS S3】S3 Presigned URLの仕組みを調べてみた

S3に対するアクセスコントロールの方法については少々ややこしいですが、まとまっているところがあるので一度確認してみてください。
もちろん公式を見るほか、ここ以外にも調べると色々出てきます。
S3のアクセスコントロールまとめ
バケットポリシーとユーザーポリシー
S3のアクセス制限(バケットポリシー, IAMポリシー, ACL)

Comments

[pen_ari]

回答ありがとうございます
>バケットポリシーは必須ではなく、IAMロールやIAMユーザに権限があればアクセスが可能です。
少し補足をすると、IAMによって制御しているのは「S3というサービスのAPIに対するアクセス」です。

これについては以下の認識であっていますか？
S3バケットポリシーで明示的に許可しない状態でも（バケットポリシーが空欄）
例えばcodebuildに付与したサービスロール側がバケットに対するputObjectやgetObject権限を有していればcodebuild内でs3にputObjectするようなコマンドは実行可能である

[yu_1985]

そこは正しいです。
バケットポリシー空欄の場合の挙動は「デフォルト拒否」です。
IAMによる許可は明示的許可なので、デフォルト拒否よりも優先されます。

参考記事として貼りましたが、こちらをご参照ください。
https://qiita.com/ryo0301/items/791c0a666feeea0a704c#%E8%A9%95%E4%BE%A1%E8%AB%96%E7%90%86

[pen_ari]

ありがとうございます！参考にします

Answer 2

この理解であっていますか？

他にもアクセス権を与える方法はあります。

• S3側でパブリックアクセスを許可すれば、ロールに関係なく誰でもアクセス可能です。
• S3でのアクセス権限は、IAMロールに対してだけでなく、AWSアカウントなど別な単位で与えることも可能です。