【新機能】Amazon GlacierのVaultに単一のアクセスポリシーが設定できるようになりました

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、せーのです。今日はAmazon Glacierのアクセスコントロールについての新機能をご紹介します。

Vaultとは

Glacierをあまり使わない方には耳慣れない言葉かもしれません。VaultとはS3でいうBucketに当たるもので、ファイルをGlacierに格納する際には必ずVaultを作り、その中にファイルを入れます。Glacier(氷河)の中で食べ物を保管するにはVault(貯蔵庫)に入れておくのが一番、ということですね。

今までのVaultアクセスコントロール

もちろん今までもVaultに対するアクセスコントロールは可能でした。Vaultに対するアクセスを制限するには操作対象のIAMユーザ、グループに対してVaultに関しての権限をポリシーに書き込むことでコントロールしていました。複数ユーザーに対して制限を書ける時は都度それぞれのグループ、ユーザーにIAMポリシーを設定しなくてはいけなかったのですが、今回のこの機能でGlacier側から一律でアクセスコントロールが出来るようになりました。つまりS3におけるIAMポリシーとバケットポリシーのような関係がGlacierでも実現した、ということですね。

やってみた

ではサクッとやってみましょう。Management ConsoleよりGlacierを開きます。

glacier_access_control1

Vaultを新規追加します。

glacier_access_control2

そうすると作ったVaultに[Permission]というタブがあるので選択し、[Edit Permission]ボタンを押して編集します。

glacier_access_control3

対象ポリシーを追加してみます。

glacier_access_control4

ポリシーの設定方法は「誰が」「何をすることを」「許可する/拒否する」という形で決めていきます。「何をするのか」はVaultのアクセスポリシーとしてまとめられています。

glacier_access_control5

一般のIAMポリシー同様Conditionも設定できるようになっています。

glacier_access_control6

GUIで設定した際も確認画面としてJSON形式でポリシーが確認できます。こちらを直接修正することも可能ですので、より細かい設定はこちらで直接した方が楽な場合もあるかと思います。

glacier_access_control7

例えばクロスアカウントでVaultに対してアクセスさせたい場合はこんなポリシーになります。

{
    "Version":"2012-10-17",
    "Statement":[
       {
          "Sid":"cross-account-upload",
          "Principal": {
             "AWS": [
                "arn:aws:iam::111122223333:root",
                "arn:aws:iam::444455556666:root"
             ]
          },
          "Effect":"Allow",
          "Action": [
             "glacier:UploadArchive",
             "glacier:InitiateMultipartUpload",
             "glacier:AbortMultipartUpload",
             "glacier:CompleteMultipartUpload"
          ],
          "Resource": [
             "arn:aws:glacier:us-west-2:999999999999:vaults/examplevault"                                           
          ]
       }
    ]
}

慣れてくるとこっちを直接書いたほうが楽です。saveを押して設定完了です。

glacier_access_control8

非常に簡単ですね。

まとめ

いかがでしたでしょうか。Glacierは最近はS3からのLifeCycleで移行するパターンが多いですが、正統のパターンも押さえておきましょう。

参考サイト