コラム

CTC教育サービス・ホーム　＞　コラム　＞　Amazon Web Servicesを追いかける　＞　第3回　Amazon S3 で構築した webサイトの機能を強化しよう

Amazon Web Servicesを追いかける

CTC 教育サービス

[IT研修]注目キーワード Python UiPath(RPA) 最新技術動向 Microsoft Azure Docker Kubernetes

第3回　Amazon S3 で構築した webサイトの機能を強化しよう (橋本英勝) 2014年7月

　こんにちは。今回は第1回の続編として、Amazon S3 で作成した webサイトにアクセスコントロールを導入してみます。

　主に業務においては、web サイトに何らかのアクセス制限を行うケースが多くみられます。Amazon S3 も、強力なアクセスコントロール機能をサポートしています。これを web サイトと組み合わせることで、より実用性が高まります。

　本稿では、初めて設定される方向けの解説として、アクセスコントロールの概要とシンプルな使い方を紹介いたします。

アクセスコントロールとは

　既に登場している「アクセスコントロール」とは、バケットおよびオブジェクトに対するアクセス管理の総称です。

　具体的な例としては、任意のファイルに対して公開・非公開を設定したり、特定のIPアドレスからのリクエストを許可・禁止したりするものです。これ自体は従来からある web サーバ（例：Apache HTTP Server）でも実現できますが、Amazon S3 におけるアクセスコントロールはさらに複雑な機能を備えています。任意のリクエストに対する条件はもとより、AWSアカウントに関連した条件を使うことも可能です。

アクセスコントロールの種類

　まずはアクセスコントロール全体を眺めてみます。現在のところ、アクセスコントロールには以下の3種類があります。

ACL (Access Control List)
- バケット（またはオブジェクト）のリソースの一部として設定
- マネジメントコンソールで、バケット（またはオブジェクト）を選択して設定
- 基本的に「許可」を設定
バケット(Bucket) ポリシー
- バケットを対象として設定
- PolicyDocument（JSON 準拠）として記述
- 「許可」に加えて「明示的な拒否」を設定可能
IAM (AWS Identity and Access Management) ポリシー
- ユーザーを対象として設定
- PolicyDocument（JSON 準拠）として記述
- 「許可」に加えて「明示的な拒否」を設定可能

　これらは単独でも使用可能ですし、複数組み合わせての使用も可能です。本稿では、この3種類のうち ACL とバケットポリシーについて紹介します。

ACL を使ってみよう

　それでは、ACL を単独で使用してみます。

設定のしかた

　マネジメントコンソールで、設定したいバケット（またはオブジェクト）をクリックで選択します。右クリックでコンテクストメニューを表示させて、そこから "Properties" を選んでもよいでしょう。

　ウィンドウ右側にプロパティが表示されますので、そこの "Permissions" タブをクリックします。許可を付与する対象と許可項目という形で、直感的に設定が行えます。バケット（またはオブジェクト）を作成した直後は、それを作成したユーザーに対して4つ全てにチェックが入った状態（内部的には FULL_CONTROL）となっています。

　なお、「許可」を設定しなかった場合、評価結果として「デフォルトで拒否」が適用されます（後述）。

　対象となるユーザー（被付与者）にはグループも設定できます。例えば "Authenticated Users" を設定すると、任意のAWSアカウントに対して許可を与えることもできます。特定の AWS アカウントにのみ適用する設定もできます。

（注）マネジメントコンソールで "Everyone" と表示されるグループは、内部的には "All Users" に対応しています。

使いどころ

　ACL は、特に任意のオブジェクトに対する公開設定に向いているといえるでしょう。マネジメントコンソールからシンプルな操作で設定できる点も便利なところです。ぜひ、実際に試してみてください。

参考リンク

AWS Management Consoleでの ACL の管理
http://docs.aws.amazon.com/ja_jp/AmazonS3/latest/dev/ManageACLsUsingConsole.html

アクセスコントロールリスト（ACL）の概要
http://docs.aws.amazon.com/ja_jp/AmazonS3/latest/dev/ACLOverview.html

バケットポリシーを使ってみよう

　次に、バケットポリシーを使用してみます。こちらも単独で使用します。

　設定の操作については、第1回もあわせてご覧ください。

設定のしかた

　マネジメントコンソールで、設定したいバケットをクリックで選択します。ACL の設定項目の下に、 "Add bucket policy" というボタンがありますので、こちらをクリックします。すると、バケットポリシーを入力できるようになります。このボタンが表示されない場合、誤ってオブジェクトを選択していないかどうか確認してみましょう。

fig03

　バケットポリシーの作成には、第1回と同様に AWS Policy Generator を使用してみます。"Select Type of Policy" にはいくつか選択項目がありますが、ここは "S3 Bucket Policy" を選びましょう。

（注）選択項目に "IAM Policy" があることからもわかるように、このツールは IAM ポリシーの作成にも利用できます。

AWS Policy Generator で使える設定項目

ステートメントとポリシー

　画面には "Add Statement(s)" とありますが、この「ステートメント (Statement)」はアクセス権限の定義です。ひとつのステートメントで、ひとつの権限を定義します。それに対して「ポリシー」は、複数のステートメントをまとめて管理する単位といえます。一般的に、ひとつのポリシーには複数のステートメントが含まれています。

　ステートメントに含まれるポリシーを増やしたいときには、 "Add Statement" ボタンを使いましょう。

ステートメントの内容

　以下に、ステートメントに含れる主な項目を示します。

Effect
- 与える権限を指します。
- "Allow"（許可）と "Deny"（明示的な拒否）があります。
- この"Deny" は、「許可」や「デフォルトで拒否」を上書きします。（次節参照）
Principal

そのステートメントの適用対象を指します。
特定のユーザーやグループを指定します。ワイルドカード（例：*）も使えます。

AWS Service

対象となるサービスを指します。
"Select Type of Policy" で "S3 Bucket Policy" を選択している場合、当然ながら変更できません。

Actions

評価の対象となる操作（アクティビティ）を指します。
アクティビティは最低1つ設定します。複数設定することもできます。

Amazon Resource Name (ARN)

アクセスを要求するバケット（またはオブジェクト）を指します。
arn:aws:s3:::[resourcename] という書式で設定します。
　（例）arn:aws:s3:::bucketname/* で、"bucketname" というバケット内の任意のオブジェクト

Add Conditions

　"Add Statement" ボタンの上に、"Add Conditions (Optional)" というリンクがあります。これをクリックすると、ステートメントに絞り込み条件を追加する項目が現れます。

　これを利用することで、日付やリクエスト元のIPアドレスといった値を条件に加えることができます。特定のホストに対するアクセス許可、期間限定でのアクセス許可といった設定に活用できることでしょう。

実例

　いよいよ、バケットポリシーを実際に適用する例を挙げていきます。

　ここではごくシンプルな例に絞ってみましたが、一部改変するだけで使い方の幅が広がると思います。

（その１）すべてのユーザーに対して全てのオブジェクトを取得可能とする

　Amazon S3 で静的な web サイトを公開する場合、これが最もシンプルな例といえるでしょう。

　内容は第1回のものと同様となりますので、具体的にはそちらをご覧ください。なお "Actions" で "GetObject" を設定していますが、これは「ファイルの取得」を意味します。

（その２）特定のIPアドレスに対してのみ全てのオブジェクトを取得可能とする

　その１に加えて、"Add Conditions" を使って条件を追加します。下図の例では、「リクエスト元のIPアドレスが 172.16.0.1 に等しい」という条件を適用しています。一方、172.16.0.1 以外のIPアドレスに対しては何も設定が行われません。すなわち、デフォルトで拒否が適用されます。

　IPアドレスは複数設定することも可能です。その場合、172.16.0.1, 172.16.0.2 といった形でカンマ区切りで入力しましょう。範囲指定もできますが、その場合は CIDR 形式になります（例：172.16.0.0/24）。

（作成例）
--------------------------------------------------------------
{
　 "Id": "Policy0000000000000",
　 "Statement": [
　　{
　　 "Sid": "Stmt0000000000000",
　　 "Action": [
　　 "s3:GetObject"
　　],
　　 "Effect": "Allow",
　　 "Resource": "arn:aws:s3:::bucketname/*",
　　 "Condition": {
　　　 "IpAddress": {
　　　　 "aws:SourceIp": "172.16.0.1"
　　　　}
　　　},
　　　 "Principal": {
　　　　 "AWS": [
　　　　　 "*"
　　　　　]
　　　　}
　　　}
　　]
　}
--------------------------------------------------------------

（その３）すべてのユーザーに対してバケットに含まれるオブジェクトの一覧を閲覧可能とする

　こちらは、バケットに対するステートメントの例となります。 "Actions" で "ListBucket" を指定していますが、その際の "Resource" 値がバケット名になります。

（作成例）
--------------------------------------------------------------
{
　 "Id": "Policy0000000000000",
　 "Statement": [
　　{
　　　 "Sid": "Stmt0000000000000",
　　　 "Action": [
　　　　 "s3:ListBucket"
　　　　],
　　　 "Effect": "Allow",
　　　 "Resource": "arn:aws:s3:::bucketname",
　　　 "Principal": {
　　　　 "AWS": [
　　　　　 "*"
　　　　　]
　　　}
　　}
　]
}
--------------------------------------------------------------