バケットとグループのアクセス ポリシー

概要

これらの要素を使用して、次の構文に従って権限を指定するポリシー ステートメントが構築されます。<Effect>を付与して、<Condition>に該当する場合に<Principal>に<Resource>に対する<Action>の実行を許可または拒否します。

ポリシーの各要素の説明を次に示します。

s3:*Object

Resource要素では、ワイルドカード文字の「*」と「?」を使用できます。アスタリスク（*）は0文字以上の文字に一致し、疑問符（?）は任意の1文字に一致します。

Principal要素では、匿名アクセスを設定してすべてのユーザに権限を付与する場合を除き、ワイルドカード文字はサポートされません。Principalの値としてワイルドカード（*）を設定する例を次に示します。

"Principal":"*"

次に、Effect、Principal、Action、およびResourceの各要素を使用して記述したステートメントの例を示します。このバケット ポリシーのステートメントでは、Effectで「Allow」を指定して、Principalで指定したadminグループ（federated-group/admin）とfinanceグループ（federated-group/finance）に、「mybucket」という名前のバケットに対するs3:ListBucket処理とそのバケット内のすべてのオブジェクトに対するs3:GetObject処理を実行する権限を付与しています。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "SGWS": [
          "urn:sgws:identity::27233906934684427525:federated-group/admin",
          "urn:sgws:identity::27233906934684427525:federated-group/finance"
        ]
      },
      "Action": [
        "s3:ListBucket",
        "s3:GetObject"
      ],
      "Resource": [
        "urn:sgws:s3:::mybucket",
        "urn:sgws:s3:::mybucket/*"
      ]
    }
  ]
}

バケット ポリシーのサイズの上限は20,480バイトで、グループ ポリシーのサイズの上限は5,120バイトです。

ポリシーの整合性制御設定

デフォルトでは、グループ ポリシーに対するすべての更新の整合性レベルは結果整合性です。グループ ポリシーが整合した状態になっても、ポリシー キャッシュのために、変更が有効になるまでさらに15分を要することがあります。

デフォルトでは、バケット ポリシーに対するすべての更新の整合性レベルも結果整合性です。ただし、バケット ポリシーの更新の整合性保証は必要に応じて変更できます。たとえば、セキュリティ上の理由から、できるだけ速やかにバケット ポリシーの変更を有効にしなければならない場合があります。

ポリシー ステートメントでのURNの使用

ポリシーでのリソースの指定

ポリシーでのプリンシパルの指定

ポリシーでの権限の指定

ポリシーでは、Action要素を使用してリソースに対する権限を許可または拒否します。ポリシーで指定できる一連の権限が用意されており、それらを「Action」要素または「NotAction」要素（除外の場合）で指定します。それぞれがS3 REST APIの特定の処理に対応しています。

PutOverwriteObject権限の使用

PutOverwriteObject権限は、オブジェクトを作成または更新する処理（PUTによる新規オブジェクトの作成処理やPUT Copyによるメタデータの更新処理など）に適用されます。この権限の設定により、オブジェクトのデータやメタデータをクライアントが上書きできるかどうかが決まります。有効な設定値は、Allow（クライアントがオブジェクトを上書きできる）とDeny（クライアントがオブジェクトを上書きできない）です。デフォルトの設定はAllowです。この権限が設定されていない場合は、Allowが設定されたものとして処理されます。

この権限がDenyに設定されている場合の動作は次のとおりです。

• 同じパスで既存のオブジェクトが検出された場合は、次のように処理されます。
  • オブジェクトのデータやメタデータはいずれも上書きされません。
  • 実行中の取り込み処理はすべてキャンセルされ、エラーが返されます。
  • S3のバージョン管理が有効になっている場合は、この権限がDenyかどうかに関係なく、データやメタデータの変更は許可されません。
• 既存のオブジェクトがない場合は、この権限の設定は影響しません。

PutOverwriteObject権限の使用例については、例：PutOverwriteObject権限を参照してください。

ポリシーでの条件の指定

条件を使用すると、要求の値に基づいてポリシーを適用できます。

条件はキーと値のペアを使用して評価されます。1つのCondition要素に複数の条件を含め、各条件に複数のキーと値のペアを含めることができます。条件ブロックの形式は次のとおりです。

Condition: {
     condition_type: {
          condition_key: condition_values

次の例では、IpAddress条件でSourceIp条件キーを使用しています。

  "Condition": {
    "IpAddress": {
      "sgws:SourceIp": "54.240.143.0/24"
		...
},
		...

ポリシーでの変数の指定

ポリシーで変数を使用すると、該当するポリシーの情報を設定することができます。ポリシー変数は、Resource要素とCondition要素の文字列比較で使用できます。

次の例では、Resource要素で変数${sgws:username}を使用しています。

「リソース」:  「urn:sgws:s3:::bucket-name/home/${sgws:username}/*"

次の例では、条件ブロックの条件の値で変数${sgws:username}を使用しています。

  "Condition": {
    "StringLike": {
      "s3:prefix": "${sgws:username}/*"
		...
},
		...

特別な処理を必要とするポリシーの作成

ポリシーで付与される権限によって、アカウントのrootユーザがロックアウトされるなど、セキュリティや継続的な運用に支障が生じることがあります。StorageGRID WebscaleのS3 REST APIの実装では、ポリシーの検証時の制限はAmazonよりも厳しくありませんが、評価時は同等の制限が適用されます。