【Amazon S3を利用しているすべての人が安心して2019/06/24を迎えるために】CloudTrailとAthenaを用いたS3の署名バージョンの確認方法

これを見たすべてのS3を使っているすべての人が安心して2019/06/24を迎えられることを願います。

S3におけるAWS署名バージョン2の廃止

#AWS CloudTrail

#Amazon S3

#AWS

梶原裕

2019.03.29

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

好物はインフラとフロントエンドのかじわらゆたかです。

何度か記事が上がっていますが、大事なことなので私からも警鐘を鳴らしたいと思います。

廃止予定のS3署名バージョン2API利用をCloudWatchEventで検出してみた

署名バージョン4専用のS3エンドポイントを古いCLIで試してみた

上の記事をすでに見ている人はご存知の内容になりますが、 2019/6/24 以降、署名バージョン 2を用いたS3へのアクセスは受け付けらないことになります。これにより、署名バージョン 2を用いている場合、S3へファイルのアップロードやダウンロードも含めすべての操作ができないということになります。

Amazon S3 における AWS 署名バージョン 2 の廃止

上記に対応が必要なAWS SDKやAWS CLIのバージョン等の記載もあるので、まずはそこに記載されているバージョンを用いているかの確認から行う必要があります。

日本リージョンは現時点では、署名バージョン 2をサポートしているため、署名バージョン 4への対応は必須となります。

署名バージョン２を使っているかを確認する

S3のアクセスログを用いる方法だったり、CloudTrailを用いる方法があります。

S3のアクセスログを用いる方法は下記のエントリを参照ください。

S3のサーバアクセスログで署名バージョンの確認ができるようになりました

今回のエントリではCluoudTrailを用いて署名バージョン2を使っている箇所を特定していきます。

その際に、一点注意が必要です。

ClludTrailを有効にすることで、バケットに対する操作は取得できますが、オブジェクトの操作に対するアクセスのロギングはCloudTrailを有効にするだけでは取得ができない点が注意が必要です。 CloudTrailのオブジェクト単位での取得はこちらを参考に設定を行ってください。

【新機能】CloudTrailでS3オブジェクトレベルのアクセスをロギングする

この方法で取得したアクセスログが以下になります。

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "(省略)",
        "arn": "(省略)",
        "accountId": "(省略)",
        "accessKeyId": "(省略)",
        "userName": "(省略)"
    },
    "eventTime": "2019-02-14T10:38:35Z",
    "eventSource": "s3.amazonaws.com",
    "eventName": "PutObject",
    "awsRegion": "ap-northeast-1",
    "sourceIPAddress": "(省略)",
    "userAgent": "[aws-sdk-java/1.9.13 Windows_Server_2012_R2/6.3 Java_HotSpot(TM)_64-Bit_Server_VM/24.80-b11/1.7.0_80]",
    "requestParameters": {
        "bucketName": "(省略)",
        "Host": "(省略)",
        "key": "(省略)"
    },
    "responseElements": null,
    "additionalEventData": {
        "SignatureVersion": "SigV2",
        "CipherSuite": "(省略)",
        "AuthenticationMethod": "(省略)",
        "x-amz-id-2": "(省略)"
    },
    "requestID": "(省略)",
    "eventID": "(省略)",
    "readOnly": (省略),
    "resources": [
        {
            "type": "AWS::S3::Object",
            "ARN": "(省略)"
        },
        {
            "accountId": "(省略)",
            "type": "AWS::S3::Bucket",
            "ARN": "(省略)"
        }
    ],
    "eventType": "AwsApiCall",
    "recipientAccountId": "(省略)"
}

ほとんどマスクしていますが、署名バージョン 2を用いたアクセスであることがわかります。これは用いたSDKがJavaの1.9.13 であった点からもドキュメントに記載されている通りの内容になります。

さすがに一つ一つCloudTrailのJsonを参照するのは大変なので、Athenaでのクエリで確認してみました。

なお、CloudTrailをAthenaで参照する方法については下記のエントリーを参照してください。

[AWS ]CloudTrailの証跡ログをAthenaを使ってサクッと解析する[このリソース誰が作ったの？]

自分が署名バージョン２の検証用に用いているクエリは下記になります。

SELECT
eventtime,
eventname,
awsregion,
useragent,
sourceIPAddress as sourceIPAddress,
json_extract_scalar(requestparameters,'$.bucketName') as bucket,
useridentity.type,
userIdentity.accessKeyId,
json_extract_scalar(requestparameters,'$.key') as key,
json_extract_scalar(additionalEventData, '$.SignatureVersion') as version
FROM "default"."cloudtrail_logs_eventtrailsf1f684fc" where json_extract_scalar(additionalEventData, '$.SignatureVersion') = 'SigV2'

"eventtime"	"2019-03-27T12:27:24Z"
"eventname"	"GetObject"
"awsregion"	"ap-northeast-1"
"useragent"	"[aws-sdk-java/1.9.13 Windows_Server_2012_R2/6.3 Java_HotSpot(TM)_64-Bit_Server_VM/24.80-b11/1.7.0_80]"
"sourceIPAddress"	"(省略)"
"bucket"	"cm-kajiwara-s3-v2-v4"
"type"	"IAMUser"
"accesskeyid"	"(省略)"
"key"	"05.txt"
"version"	"SigV2"

上記のクエリでCloudTrailでロギングされた署名バージョン 2を用いたアクセスがあることを調べることができます。また、その際に用いられたAPIやアクセスが会ったIPアドレス・IAMユーザーなのかIAM Roleなのかといった情報も確認できるので、実装のどの箇所かといった推測もしやすくなるかと思います。

注意点

S3オブジェクトログの取得により、CloudTrailのイベント課金(100,000 件のイベントあたり 0.1$)と、S3のログ保存コストが発生します。 S3の利用が多いシステムでは、定期的にCloudTrailのログ出力先としたS3バケットのメトリックス情報や、請求速報より発生するコストを確認してご利用ください。

また、S3のV2署名利用の確認のためにS3オブジェクトログを有効化した場合、確認が完了したS3バケットは対象から外す事をおすすめします。