千葉淳(187)28この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。コンニチハ、千葉です。S3を複数部署や、複数ベンダーなど、色々な人が操作する場合に、このバケットはこの人しかさわれない、というような制限の方式を考えてみます。EC2やRDSだと、リソースのタグをベースに権限を制限することができます。このタグが付いてたら、操作を許可するというIAMポリシーを書けます。参考:https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_examples_ec2_tag-owner.htmlこれをS3でやればできるじゃん!と思ったんですが、実際みてみたらEC2の「ec2:ResourceTag」にあたるキーはあったんですが、オブジェクトレベルのタグを取得する感じでした(s3:ExistingObjectTag)。そのため、オブジェクトレベルでEC2と同じようにタグによってアクセス制御できます。今回やりたいことはオブジェクトレベルではなく、S3バケットレベルです。どんな方式がありそうか考えてみました。考えた方式S3バケットポリシーに許可するIAMポリシーを書くこれでも、実現できますが、S3バケット作成したあと、毎回バケットポリシー適用する必要があります。これは、正直面倒です。面倒という悪は運用でカバーせずになんとか別の方法で回避したいものです。バケットポリシー以外の方法を考えてみます。IAMポリシーで許可対象のS3を制限するこれだと、S3バケット作成ごとにバケットポリシーを設定しなくても済みます。!今度はIAMポリシー側に、毎回許可するS3バケットを指定しないといけないです。そもそもIAMポリシーをいじれる権限があるとすると、なんでもできちゃうのでいけてないです。以下のようなIAMポリシーを考えてみました。特定の文字列とは、部署とかグループ名とか役割とか組織に合わせて指定しますこのIAMポリシーを作ると、インフラ側で毎回何も変更せずに意図した権限を付与します。利用者は、S3バケットを作成するときに、バケット名に特定の文字列を入れるだけです。自動的にバケット名にも命名規則ができて整理もしやすいという副次効果もありそうです。やってみたということで、実際に特定の文字列が入ったバケットしか操作できないようなIAMを作成してみました。以下のポリシーを、IAMグループやIAMロールに適用してみます。]}このポリシーでは、以下のことを行なっています。実際に、IAMポリシーを適用したロールで動作確認してみました。作成できました!アップロード、ファイル削除もできました!その他の操作も問題なさそうです。まとめ沢山の役割が存在する環境での、S3の操作権限についてお送りしました。やりかたは色々あるため、悩ましいですが、運用も考慮してベストな構成を選択できると、後々幸せが訪れます。だかのお役に立てられたら嬉しいです。1,875,238Dockerがどっかーん。リクエストは受け付けられなくなります。リモート参加もOK〜クラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。〜ITエンジニアのお仕事とホンネ〜1月30日に新卒向けの会社説明会〜ITエンジニアのお仕事とホンネ〜を開催します。クラスメソッドの関連会社であるアノテーション株式会社の研修として依頼を受け、チームと心理的安全性、それに礼節というテーマで話をしてきました。濱田孝治268「ふわわぁ、眠いな。藤井元貴90Gitリポジトリ内を検索する機会はよくあると思います。grepコマンドを使えば、git管理下のファイルのみを対象としてgrepができます。シンプルなコマンドですが、利便性はとても高いと思います。記事2020年01月20日かずえ81速報です。先程大阪リージョン開設予定がアナウンスされました!!以前から大阪ローカルリージョンという色々と制限がついた特殊なリージョンが存在していましたが、それが拡張され、東京リージョンなどと同じ通常のリージョンになります!2021年初頭開設予定です。武田隆志1143このエントリは、2018年、2019年に公開したAWS全サービスまとめの2020年版です。これまではいくつかに分割して公開していましたが、1エントリにまとめてほしいという要望をもらっていたため、今年は1エントリに集約してみました。クラスメソッドの関連会社であるアノテーション株式会社の研修として依頼を受け、チームと心理的安全性、それに礼節というテーマで話をしてきました。CAFEのサービスが「LINEアプリ」として利用できるようになりました。これまではLINEのトークから利用する形でしたが、LINEサービス内から利用できるようになりました。これまでより便利に、シームレスにご利用いただけます。Cafe326件のシェア(そこそこ話題の記事)インフラ未経験の私が内定から入社までに読んだ技術書11冊ブログ記事2020年01月16日Yui326インフラ未経験で入社した私がインフラを勉強するために読んだ技術書11冊を感想とともにまとめました。濱田孝治268「ふわわぁ、眠いな。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。