AWS KMS S3バケットをSSE-KMSで暗号化しファイルのアップロード・ダウンロードするときにKMSへ必要なIAMポリシーを確認してみた

大村保貴

2021.11.21

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

SSE-KMS暗号化したS3バケットに対してファイルのアップロード、ダウンロードに必要なIAMポリシーを考えていました。S3バケットへの操作権限と、KMSのキーポリシーがデフォルトの場合はSSE-KMS暗号化したS3バケットの場合はKMSへの操作権限も必要です。KMSに必要なIAMポリシーについて失敗した例を元にKMSのIAMポリシーに着目した覚書です。

書き残したかったこと

ファイルのアップロードは暗号化するためにkms:Decryptと、kms:GenerateDataKeyの2つ許可が必要です。
ファイルのダウンロードは復号するためにkms:Decryptの許可が必要です。

IAMポリシーサンプル

Sample IAM policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03",
            "Effect": "Allow",
            "Sid": "SamplePolicy"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::sample-dev-blog-bucket",
                "arn:aws:s3:::sample-dev-blog-bucket/*"
            ],
            "Effect": "Allow"
        }
    ]
}

検証環境

EC2に設定したIAMロールのIAMポリシーのKMSに関するアクションを編集して、EC2からS3へのファイルアップロード・ダウンロードの動作を確認します。

CMKのキーポリシー

デフォルトのキーポリシー設定です。この場合はIAMポリシーで許可を与えられたアクションを許可されます。CMKのアクセス制御はIAMポリシーに寄せます。

キーポリシー

{
    "Version": "2012-10-17",
    "Id": "key-default-1",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

EC2からS3のファイルをダウンロード

当初設定していたアップロードがダメなIAMポリシーです。失敗を記録することが目的なので順を追ってみていきます。ダウンロードに必要な権限を付与しています。

policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03",
            "Effect": "Allow",
            "Sid": "SamplePolicy"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::sample-dev-blog-bucket",
                "arn:aws:s3:::sample-dev-blog-bucket/*"
            ],
            "Effect": "Allow"
        }
    ]
}

バケットの中身を一覧出力

S3バケットにはテストファイルが保存されています。

$ aws s3 ls s3://sample-dev-blog-bucket
2021-11-20 06:58:36         22 README.md

ファイルのダウンロード

S3からファイルをダウンロードします。

$ aws s3 cp s3://sample-dev-blog-bucket/README.md .
download: s3://sample-dev-blog-bucket/README.md to ./README.md

EC2のローカルにコピーされたファイルを確認できました。kms:Decryptの許可があるためファイルを復号できます。

$ ll
合計 56
-rw-rw-r-- 1 ec2-user ec2-user    22 11月 20 06:58 README.md
-rw-rw-r-- 1 ec2-user ec2-user 51573 11月 20 07:09 sample-file.png

一度脱線します。以下の様にkms:Decryptを許可しない（明示的な許可がない）場合はどうなるでしょうか？気になったので試してみます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
               "kms:Encrypt"
            ],
            "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03",
            "Effect": "Allow",
            "Sid": "SamplePolicy"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::sample-dev-blog-bucket",
                "arn:aws:s3:::sample-dev-blog-bucket/*"
            ],
            "Effect": "Allow"
        }
    ]
}

復号できないため失敗します。AccessDeniedのメッセージからですとS3の権限不足なのか、KMSの権限不足なのかは判断つかないですね。

$ aws s3 cp s3://sample-dev-blog-bucket/README.md .
download failed: s3://sample-dev-blog-bucket/README.md to ./README.md An error occurred (AccessDenied) when calling the GetObject operation: Access Denied

CloudTrailからログを確認します。イベントソースをkms.amazonaws.comでフィルターすると探しやすいです。

エラーメッセージの項目にkms:Decryptの許可がないことを示したメッセージが載っていました。

イベントレコード

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAQ4BT4DHFF4UKLZA33:i-06593b38f6016a363",
        "arn": "arn:aws:sts::123456789012:assumed-role/dev-sample-ec2-role1/i-06593b38f6016a363",
        "accountId": "123456789012",
        "accessKeyId": "ASIAAAAAAAAAA",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAQ4BT4DHFF4UKLZA33",
                "arn": "arn:aws:iam::123456789012:role/dev-sample-ec2-role1",
                "accountId": "123456789012",
                "userName": "dev-sample-ec2-role1"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2021-11-21T04:45:45Z",
                "mfaAuthenticated": "false"
            },
            "ec2RoleDelivery": "2.0"
        },
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-11-21T05:25:32Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "ap-northeast-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "errorCode": "AccessDenied",
    "errorMessage": "User: arn:aws:sts::123456789012:assumed-role/dev-sample-ec2-role1/i-06593b38f6016a363 is not authorized to perform: kms:Decrypt on resource: arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03 because no resource-based policy allows the kms:Decrypt action",
    "requestParameters": null,
    "responseElements": null,
    "requestID": "b79ccf8e-51e7-48a3-a933-a56aacbb99db",
    "eventID": "ecfcb017-c7de-45d2-9bfc-2f8d94e260fe",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

エラーメッセージの親切仕様は2021年11月の以下のアップデートによるものだと思います。（こんなに親切だった記憶がないため）

EC2からS3へファイルのアップロード

当初に設定したIAMポリシーへ戻しました。ファイルのダウンロードの冒頭のIAMポリシーと同じです。

policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03",
            "Effect": "Allow",
            "Sid": "SamplePolicy"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::sample-dev-blog-bucket",
                "arn:aws:s3:::sample-dev-blog-bucket/*"
            ],
            "Effect": "Allow"
        }
    ]
}

EC2からS3へファイルアップロード

ここからが本題です。EC2のローカルあるファイルをS3バケットへコピーしましたが失敗しました。暗号化するkms:Encryptがあれば良いのでは？と深く考えず設定していました。

$ aws s3 cp ./sample-file.png s3://sample-dev-blog-bucket
upload failed: ./sample-file.png to s3://sample-dev-blog-bucket/sample-file.png An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

CloudTrailからGenerateDataKeyのアクセス拒否されたログを確認できました。

because no resource-based policy allows the kms:GenerateDataKey actionとのことです。

イベントレコード

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAQ4BT4DHFF4UKLZA33:i-06593b38f6016a363",
        "arn": "arn:aws:sts::123456789012:assumed-role/dev-sample-ec2-role1/i-06593b38f6016a363",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOFEWWNFHDMBXTQQ",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAQ4BT4DHFF4UKLZA33",
                "arn": "arn:aws:iam::123456789012:role/dev-sample-ec2-role1",
                "accountId": "123456789012",
                "userName": "dev-sample-ec2-role1"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2021-11-21T05:30:17Z",
                "mfaAuthenticated": "false"
            },
            "ec2RoleDelivery": "2.0"
        },
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-11-21T05:39:05Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "ap-northeast-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "errorCode": "AccessDenied",
    "errorMessage": "User: arn:aws:sts::123456789012:assumed-role/dev-sample-ec2-role1/i-06593b38f6016a363 is not authorized to perform: kms:GenerateDataKey on resource: arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03 because no resource-based policy allows the kms:GenerateDataKey action",
    "requestParameters": null,
    "responseElements": null,
    "requestID": "d315fec2-e9c1-46dd-a6a4-8ebc31505eea",
    "eventID": "13731da2-dcbb-4d43-9965-6ea61a864701",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

データキーを生成してデータキーを使って暗号化するという基本的なことを失念していました。

アップロードに失敗した当初はググって以下のリンクを見て原因に気づきました。CloudTrailのログがわかりやすかったので説明と紹介の意味で後付けしています。

KMS で暗号化された Amazon S3 バケットへのアップロード時のアクセス拒否エラー

IAMポリシーを修正しkms:GenerateDataKeyの許可を追加しました。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/15dfcb2a-6625-4f70-b9a6-edcec05d6f03",
            "Effect": "Allow",
            "Sid": "SamplePolicy"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::sample-dev-blog-bucket",
                "arn:aws:s3:::sample-dev-blog-bucket/*"
            ],
            "Effect": "Allow"
        }
    ]
}

改めてファイルをアップロードし成功します。

$ aws s3 cp ./sample-file.png s3://sample-dev-blog-bucket
upload: ./sample-file.png to s3://sample-dev-blog-bucket/sample-file.png

S3バケットにコピーできたことを確認できました。ファイルのアップロードするにはファイルを暗号化するため、kms:Decryptとkms:GenerateDataKeyの許可が必要でした。

$ aws s3 ls s3://sample-dev-blog-bucket
2021-11-20 06:58:36         22 README.md
2021-11-21 06:05:10      51573 sample-file.png

まとめ

KMSに限れば以下のIAMポリシーの許可が必要でした。

ファイルのアップロードは暗号化するためにkms:Decryptと、kms:GenerateDataKeyの2つ許可が必要です。
ファイルのダウンロードは復号するためにkms:Decryptの許可が必要です。

その他、S3バケットへのs3:GetObjectやs3:PutObjectも必要です。

SSE-KMSで暗号化したS3バケットのファイル操作、KMSの権限については以下のリンクが勉強になりました。

CloudTrailからKMSのログを確認するときは、イベントソースをkms.amazonaws.comでフィルターすると探しやすいです。

おわりに

AWSのセキュリティ試験で散々KMSを勉強していたのですが凡ミスをしました。自戒の意味を込めて失敗例に補足説明を加えて書き残しました。

AWS KMS S3バケットをSSE-KMSで暗号化しファイルのアップロード・ダウンロードするときにKMSへ必要なIAMポリシーを確認してみた

書き残したかったこと

検証環境

CMKのキーポリシー

EC2からS3のファイルをダウンロード

バケットの中身を一覧出力

ファイルのダウンロード

EC2からS3へファイルのアップロード

EC2からS3へファイルアップロード

まとめ

おわりに

参考

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩

AWS KMS S3バケットをSSE-KMSで暗号化しファイルのアップロード・ダウンロードするときにKMSへ必要なIAMポリシーを確認してみた

書き残したかったこと

検証環境

CMKのキーポリシー

EC2からS3のファイルをダウンロード

バケットの中身を一覧出力

ファイルのダウンロード

EC2からS3へファイルのアップロード

EC2からS3へファイルアップロード

まとめ

おわりに

参考

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会 〜AWS / システムアーキテクト案件特集〜 を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金） 名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制 はじめの一歩

関連記事

KMSの自動キーローテーション機能に関する費用について把握しよう

AWS Control Tower の有効化時に使用するAWS KMS KeyをCloudFormationで作成して、暗号化を有効にしてみた

クラスメソッド データアナリティクス通信(AWSデータ分析編) – 2023年11月号

SSE-KMS暗号化したCloudTrailログをSumo Logicに送信する

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩

クラスメソッドデータアナリティクス通信(AWSデータ分析編) – 2023年11月号