IAM を使用したリージョンエンドポイント API オペレーションの承認 - Amazon Simple Storage Service
プリンシパルリソースディレクトリバケットのアクション

IAM を使用したリージョンエンドポイント API オペレーションの承認

AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に管理するうえで役立つ AWS のサービス です。IAM 管理者は、どのユーザーを認証して (サインイン)、ディレクトリバケットと S3 Express One Zone オペレーションにおいて、Amazon S3 リソースを使用する認可を受ける (アクセス許可がある) ことができるかを制御します。IAMは追加料金なしでご利用いただけます。

デフォルトでは、ユーザーにはディレクトリバケットへのアクセス許可はありません。ディレクトリバケットへのアクセス権限を付与するには、IAM を使用してユーザー、グループ、またはロールを作成し、それらのアイデンティティにアクセス許可をアタッチします。IAM の詳細については、「IAM ユーザーガイド」の「IAM でのセキュリティのベストプラクティス」を参照してください。

アクセスを提供するには、ユーザー、グループ、またはロールにアクセス許可を追加します。

S3 Express One Zone 向けの IAM の詳細については、次のトピックを参照してください。

トピック

プリンシパル

バケットへのアクセスを許可するリソースベースのポリシーを作成する場合は、Principal 要素を使用して、そのリソースに対するアクションまたはオペレーションをリクエストできるユーザーまたはアプリケーションを指定する必要があります。ディレクトリバケットポリシーでは、次のプリンシパルを使用できます。

  • AWS アカウント。

  • IAM ユーザー

  • IAM ロール

  • フェデレーションユーザー

詳細については、IAM ユーザーガイドPrincipalの を参照してください。

リソース

ディレクトリバケットの Amazon リソースネーム (ARN) には、s3express 名前空間、AWS リージョン、AWS アカウント ID、AWS ゾーン ID (アベイラビリティーゾーンまたはローカルゾーン ID) を含むディレクトリバケット名が含まれます。

ディレクトリバケットにアクセスしてアクションを実行するには、次の ARN 形式を使用する必要があります。

arn:aws:s3express:region:account-id:bucket/base-bucket-name--zone-id--x-s3

ディレクトリバケットのアクセスポイントにアクセスしてアクションを実行するには、次の ARN 形式を使用する必要があります。

arn:aws::s3express:region:account-id:accesspoint/accesspoint-basename--zone-id--xa-s3

ARN の詳細については、「IAM ユーザーガイド」の「Amazon Resource Names (ARNs)」を参照してください。リソースの詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素: Resource」を参照してください。

ディレクトリバケットのアクション

IAM ポリシーまたはリソースベースのポリシーで、どの S3 on Outposts アクションを許可または拒否するかを定義します。アクションは特定の API オペレーションに対応しています。ディレクトリバケットでは、S3 Express One Zone 名前空間を使用して s3express と呼ばれるアクセス許可を付与する必要があります。

s3express:CreateSession アクセス許可を付与すると、CreateSession API オペレーションはゾーンエンドポイント API (オブジェクトレベル) オペレーション用の一時セッショントークンを取得します。このセッショントークンは、その他すべてのゾーンエンドポイント API オペレーションで使用される認証情報を返します。この結果、IAM ポリシーを使用してゾーンの API オペレーションにアクセス許可を付与することはありません。代わりに、CreateSession はすべてのオブジェクトレベルのオペレーションへのアクセスを有効にします。ゾーン API オペレーションとアクセス許可のリストについては、「リクエストの認証と承認」を参照してください。

CreateSession API オペレーションの詳細については、「Amazon Simple Storage Service API リファレンス」の「CreateSession」を参照してください。.

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、単独のアクションが複数のオペレーションへのアクセスを制御する場合もあります。バケットレベルのアクションへのアクセスは IAM アイデンティティベースのポリシー (ユーザーまたはロール) でのみ付与でき、バケットポリシーでは付与できません。

アクセスポイントポリシーの設定方法の詳細については、「ディレクトリバケットのアクセスポイントを使用するための IAM ポリシーの設定」を参照してください。

詳細については、「Amazon S3 Express のアクション、リソース、および条件キー」を参照してください。