Upgrade to PRO for Only $50/Year—Limited-Time Offer! 🔥

How to think about Acsess controll of Amazon ...

Avatar for chadain chadain
October 11, 2019

How to think about Acsess controll of Amazon S3 simply

How to think about Acsess controll of Amazon S3 simply

Avatar for chadain

chadain

October 11, 2019
Tweet

More Decks by chadain

Other Decks in Technology

Transcript

  1. 12 アクセスポリシヌ ナヌザヌポリシヌ • IAMナヌザヌ・グルヌプ・ロヌルに適✀ • アクセスをナヌザヌ単䜍で制埡するのに◎ バケットポリシヌ • バケットに適✀

    • アクセスをバケット単䜍で制埡するのに◎ ACLバケット/オブゞェクト • バケット/オブゞェクト適✀ • アクセスをオブゞェクト単䜍で制埡するのに◎
  2. 14 䜕に察しおResource・䜕を蚱可するAction バケット オブゞェクト • バケットオペレヌション • バケットの䜜成 • バケットの削陀

    • バケット⌀芧の取埗 etc • オブゞェクトオペレヌション • オブゞェクトの䜜成 • オブゞェクトの参照 • オブゞェクトの曎新etc
  3. 15 S3アクセス管理における抂念の敎理再掲 • アクセスポリシヌ • ナヌザヌポリシヌナヌザヌグルヌプロヌル • バケットポリシヌ • ACLバケットオブゞェクト

    • 誰がPrincipal • AWSアカりント • ナヌザヌ • サヌビス • パブリック etc • 䜕に察しおResource • バケット • オブゞェクト • 䜕を蚱可/拒吊するAction • バケット オペレヌション • オブゞェクト オペレヌション
  4. 16 暩限の勝ち負け 暗黙的拒吊 < 明✰的蚱可 < 明✰的拒吊 デフォルトDeny < Allow

    < Deny 蚱可しおない < 蚱可しおいる < 拒吊しおいる
  5. 27 アクセスポリシヌ再掲 ナヌザヌポリシヌ • IAMナヌザヌ・グルヌプ・ロヌルに適✀ • ナヌザヌ単䜍でアクセスを制埡するのに◎ バケットポリシヌ • バケットに適✀

    • バケット単䜍でアクセスを制埡するのに◎ ACLバケット/オブゞェクト • バケット/オブゞェクト適✀ • オブゞェクト単䜍でアクセスを制埡するのに◎
  6. 30 ポリシヌを考える順番 1. パブリックアクセスさせたい 2. 耇数のAWSアカりントから アクセスさせたい NO YES Main:バケットポリシヌ

    YES NO Main:ナヌザヌポリシヌ(IAMロヌル) Sub:バケットポリシヌ Main:ナヌザヌポリシヌ Sub:バケットポリシヌ 3. 単⌀のAWSアカりント内から アクセスさせたい YES
  7. 36 ポリシヌを考える順番 1. パブリックアクセスさせたい 2. 耇数のAWSアカりントから アクセスさせたい NO YES Main:バケットポリシヌ

    • 理由ナヌザヌポリシヌで、パブリックアクセスを管 理するのは無理だから。→必然的にバケットポリシヌ ⌀択。 YES NO Main:ナヌザヌポリシヌ (IAMロヌル) Sub:バケットポリシヌ • クロスアカりントアクセスはIAMロヌルが有✀ 詳现は次のTipsにお解説 Main:ナヌザヌポリシヌ Sub:バケットポリシヌ • できるだけ暩限呚りは、IAMで⌀元管理する✅がシ ンプルになるので、ナヌザヌポリシヌでたず考える • それだず難しい堎合にバケットポリシヌを䜿う 3. 単⌀のAWSアカりント内から アクセスさせたい YES
  8. 42 クロスアカりントの䟋IAMロヌル䜿わないver 【アカりントA】 - バケットポリシヌ - バケットに察しおアカりントB/Cのアクセスを蚱可する - ただし、アカりントBがオブゞェクトACLのフルコントロヌルを蚱可 しおないずNG

    - ナヌザヌポリシヌ - ナヌザヌに察しおバケット・オブゞェクトのアクセスを蚱可する 【アカりントB】 - ナヌザヌポリシヌ - ナヌザヌに察しおバケット・オブゞェクトのアクセスを蚱可する - オブゞェクトACL - アカりントA/Cにオブゞェクトのフルコントロヌルを蚱可する 【アカりントC】 - ナヌザヌポリシヌ - ナヌザヌに察しおバケット・オブゞェクトのアクセスを蚱可する
  9. 43 クロスアカりントの䟋IAMロヌル䜿わないver アカりントA アカりントB アカりントC バケットポリシヌ ナヌザヌポリシヌ ナヌザヌポリシヌ オブゞェクトACL ナヌザヌポリシヌ

    バケット所有者ず オブゞェクト所有者が 違うので、 オブゞェクトACLが必芁に  さらにアカりントが増えた 時の察応範囲が広い  ・オブゞェクトACLの修正 ・バケットポリシヌの修正
  10. 45 クロスアカりントの䟋IAMロヌル䜿うver 【アカりントA】 - ナヌザヌポリシヌ - ナヌザヌに察しおバケット・オブゞェクトのアクセスを蚱可する - ロヌルポリシヌアカりントB✀ -

    察象のバケットぞのアクセスを蚱可する - ロヌルポリシヌアカりントC✀ - 察象のバケットぞのアクセスを蚱可する 【アカりントB】 - ナヌザヌポリシヌ - アカりントAのロヌル䜿✀を蚱可する 【アカりントC】 - ナヌザヌポリシヌ - アカりントAのロヌル䜿✀を蚱可する
  11. 46 クロスアカりントの䟋IAMロヌル䜿うver アカりントA アカりントB アカりントC ナヌザヌポリシヌ ナヌザヌポリシヌ ナヌザヌポリシヌ ロヌルポリシヌ (B)

    ロヌルポリシヌ (C) バケット所有者オブゞェ クト所有者なので、オブ ゞェクトACLが䞍芁 アカりント远加時も アカりントAで 集䞭管理が可胜
  12. 47 クロスアカりントの䟋IAMロヌル䜿うver アカりントA アカりントB アカりントC ナヌザヌポリシヌ ナヌザヌポリシヌ ナヌザヌポリシヌ ロヌルポリシヌ (B)

    ロヌルポリシヌ (C) 1.オブゞェクト所有者を意識しないで枈む✅が シンプルでわかりやすい 2.別アカりントのこずは、 党おロヌルに払い出す✅が管理しやすい
  13. 49 ⌀般公開しないなら、ブロックパブリックアクセス What is ブロックパブリックアクセス ? • Re:invent2018発衚の新機胜 • ポリシヌ党無芖でパブリックアクセスをブロックする最匷

    なや぀ • いわば「安党装眮」 → パブリックに公開する予定のないバケットは ずりあえず有効化するのが安党。
  14. 52