スイッチロールなしで別アカウントの S3 バケットにマネジメントコンソールからアクセスしてみた

え!! スイッチロールなしでクロスアカウントなマネジメントコンソールアクセスを!?

#Amazon S3

#AWSマネジメントコンソール

#スイッチロール

#AWS

千葉幸宏（チバユキ）

2021.07.31

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

コンバンハ、千葉（幸）です。

IAM ユーザーやロールなどのプリンシパルから別の AWS アカウントにある S3 バケットにアクセスしたい場合、大まかには以下のいずれかの手法をとることになります。（名称はわたしが勝手につけたものです。）

①クロスアカウントアクセスパターン
②スイッチロールパターン

前者は主に AWS CLI やプログラムによるアクセスが想定されたものであるため、マネジメントコンソールからのアクセスを行う場合には後者の②を採用するのがセオリーでしょう。

しかし、やろうと思えば（スイッチロールを挟まなくても）マネジメントコンソールからのクロスアカウントアクセスは可能ですので、今回はその方法をご紹介します。

3行まとめ

URL を直接指定することで別アカウントの S3 バケット（のコンソール）にもアクセス可能
- https://s3.console.aws.amazon.com/s3/buckets/バケット名
IAM ポリシー、S3バケットポリシーの両方で S3 アクセスの許可が必要
今後も恒久的に使用できるかは不明

今回やること

以下の構成で、クロスアカウントでマネジメントコンソールからのアクセスを行います。

アクセス元
- IAM ユーザーarn:aws:iam::000000000000:user/Batchi
  - AdministratorAccess をアタッチ
アクセス先
- S3 バケットarn:aws:s3:::chibayuki-cross-account
  - バケットポリシーを設定

1. S3 バケットの作成

アクセス先の AWS アカウントで S3 バケットを作成します。バケット名を指定する以外はデフォルトの設定のままです。

バケット名：chibayuki-cross-account
ブロックパブリックアクセス：オン
バージョニング：無効
デフォルト暗号化：無効

この時点ではバケットポリシーは未設定（空）です。

確認のためsample.txtをアップロードします。また、この画面から URL を確認可能です。

s3-cross-account

選択するタブにより変わりますが、以下の URL となります。

https://s3.console.aws.amazon.com/s3/buckets/chibayuki-cross-account?region=ap-northeast-1&tab=objects

2. クロスアカウントアクセス（失敗）

この時点でアクセス元からマネジメントコンソールを開き、先ほど確認した URL にアクセスします。

S3 バケットポリシーで許可が与えられていないため、エラーが表示されます。

s3cross-account

オブジェクトを一覧表示するアクセス許可が不十分です

お客様または AWS 管理者が s3:ListBucket アクションを許可するようにアクセス許可を更新してから、このページを更新します。

3. S3 バケットポリシーの設定

アクセス先の S3 バケットで以下のバケットポリシーを設定します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::000000000000:user/Batchi"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::chibayuki-cross-account/*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::000000000000:user/Batchi"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::chibayuki-cross-account"
        }
    ]
}

アクセス元の IAM ユーザーarn:aws:iam::000000000000:user/Batchiから以下を許可しています。

GetObject
ListBucket

4. クロスアカウントアクセス（成功）

再度アクセス元のアカウントからアクセスを試みると、正常にバケット内のオブジェクトが参照できるようになりました。ダウンロードも可能です。

crossaccount-s3

一方で、その他の操作、例えばファイルのアップロードやバケット設定・アクセス許可の参照はすべて拒否されます。（以下はファイルのアップロードが失敗した例）

CrossAccountS3

アクセス元アカウントで使用しているのは AdministratorAccess を持つ IAM ユーザーですが、あくまで対向の S3 バケットポリシーで許可されているアクションのみが可能、ということです。

おまけ：オブジェクト直指定

S3 コンソールからオブジェクトの詳細画面に遷移することで、同じように直指定の URL を確認できます。

https://s3.console.aws.amazon.com/s3/object/chibayuki-cross-account?region=ap-northeast-1&prefix=sample.txt

S3CrossAccont

上記の URL を直接指定してクロスアカウントアクセスさせるのであればListBucketの許可も不要になるのでは？と思いました。

ダメでした

アクセス先の S3 バケットポリシーを以下に修正しました。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::000000000000:user/Batchi"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::chibayuki-cross-account/*"
        }
    ]
}

アクセス元アカウントからオブジェクト詳細画面の URL を直接指定してみますが、エラーが発生しました。

S3CrossAccount