特定のS3のフォルダにのみアクセス権のあるIAMユーザーを使ってCyberduckから参照する

honda

2015.12.24

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

特定のS3のフォルダにしかアクセス権を与えたくない場合、ポリシーを作成してIAMユーザーに付与し、そのユーザーからフォルダを参照しますが、マネジメントコンソールから入るとトップページを表示する権限がないので以下のメッセージが表示され目的のフォルダにアクセスできません。

そのため今回は、S3のフォルダおよびそこにしかアクセス出来ないポリシーを作成し、そのポリシーを付与したIAMユーザーのクレンデンシャル情報を使ってCyberduckからアクセスする方法を紹介します。

手順

手順は以下になります。

フォルダの作成
ポリシーの作成
IAMユーザの作成
Cyberduckの設定

１．フォルダの作成

S3のコンソールから「バケットを作成」ボタンをクリックし、バケット名とリージョンを選択してバケットを作成します。

この時にバケット名の命名ルールに準じていないとバケットが作成出来ないので注意しましょう。
弊社ブログ
 バケットの制約と制限

作成したバケットに入って「フォルダの作成」ボタンをクリックしてフォルダを作成します。

２．ポリシーの作成

IAMのポリシーから「ポリシーの作成」ボタンをクリックしてポリシーを作成します。今回は１で作成した特定のフォルダにのみアクセスを許可したいので、 "Resource"でバケットを指定して"Condition"と"StringLike"でフォルダを指定しています。

また、アップロード、ダウンロード、削除も行いたいので "s3:GetObject"アクション、"s3:PutObject"アクション、"s3:DeleteObject"アクションを追加しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::test-bucket-201512",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "01/*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::test-bucket-201512/01/*"
        }
    ]
}

ポリシーを作成する前に「ポリシーの検証」ボタンをクリックすることでポリシーの有効性が確認できます。