「AWS での Media Exchange」を試してみる

Amazon S3 は非公開でファイルを保存することはもちろん、不特定多数に保存したファイルを公開することもできます。しかし、非公開・公開といった単純な設定だけでなく、使用していく中で、一部の人だけにファイルを公開したいということもあると思います。その中でも、すでに AWS アカウントを持っている他の人や会社と Amazon S3 を使ってファイルを共有したいとなった場合を考えてみましょう。すぐに思いつくのは、バケットポリシーや AWS Identity and Access Management (IAM) 上で、自分の AWS アカウントの権限設定を変更し、相手の認証情報を登録して共有する方法です。

しかし、これらの方法では必ず相手の認証情報やアカウント情報を自分のアカウントに登録する必要があります。管理がうまくできるか不安という人や、そもそも会社のポリシーとして他の AWS アカウントからのアクセス権を自社の AWS アカウントに登録してはいけないという決まりになっていることも多いでしょう。そのような場合、Amazon S3 を使ったクロスアカウントのファイル共有は諦めないといけないのでしょうか。

もちろん、そんなことはありません。注目していただきたいのは、上述したような状況では、共有する相手側の AWS アカウントは何も設定する必要がないという点です。つまり、アクセスしたいと要求する側は権限の設定をお願いするだけで、設定が完了すれば自分の認証情報をそのまま使って接続することができます。これを応用すれば、2 アカウント間の S3 ファイル共有をする際、間に中継役となるアカウントと S3 バケットを用意してそこで両者の認証設定をすれば、元々の 2 アカウントではバケットポリシーの設定も IAM の設定もいらなさそうだ、ということが分かると思います。

そこで、今回は、互いのアカウントに認証情報を登録することなく Amazon S3 経由でファイル共有をできるようにする「AWS での Media Exchange 」というソリューションをご紹介します。このソリューションでは、まさに先に述べたような仕組み（中継役のアカウントと S3 バケット）を使って、元々ファイル共有をしたい 2 アカウントの認証情報を変更することなくファイル共有を実現しています。

「AWS での Media Exchange」では、別の AWS アカウント（中継アカウント）上に S3 バケットを作成し、それを用いて異なる AWS アカウントの送信者 (Publisher) と受信者 (Subscriber) の間に安全な共有オブジェクトストレージを作成できます。送信者はファイルをこの共有 S3 バケットにコピーし、受信者が共有リソースからコンテンツを取得できるようにするアクセス許可を中継アカウント上に作成します。

実際のソリューションでは、中継アカウント上に AWS CloudFormation を用いて AWS Service Catalog 製品を展開します。中継アカウント上で必要となるバケットの作成や、送信者と受信者の間の権限設定といった作業は、全て Service Catalog 経由で行います。こうすることで、AWS の操作に慣れていない人でも、ウィザードに従って必要事項を記入するだけで中継アカウントの設定を行うことができます。また、先述したように、AWS のリソース展開や設定は中継アカウントのみで完結するため、受信・送信アカウント側での権限設定の不備による問題等を防ぐことができます。

実際のユースケースとしては、以下のようなものが想定されます。

• 共有する二者間の認証情報を直接やりとりすることなく、S3 経由のファイル共有をしたい
• AWS 上で設定項目を手動で管理することなく、予め決められたウィザードに沿って権限設定を行いたい

より具体的に、各構成部を見ていきましょう。

今回のソリューションの肝となる、Amazon S3 でのファイル転送を中継する部分です。以下のようなコンポーネントから構成されます。なお、箇条書きの番号は図中の番号と対応しています。

1. 中継を行う S3 バケット
   
2. AWS Key Management Service (AWS KMS) で管理される、送信者と受信者がファイルを暗号化する際に使う共通鍵
   
3. 1 の S3 バケットにおける変更や各種操作を監視し、Amazon EventBridge 経由で Amazon Simple Notification Service (Amazon SNS) トピックに通知する通知システム
   
4. 3 で発生した通知を、受信者や送信者のアカウントに配置した Amazon Simple Queue Service (Amazon SQS) キューに登録する Amazon SNS のサブスクリプション
   
5. 送信要求や受信要求が各外部アカウントから送られてきた際に、それを AWS CloudFormation 経由で手軽にデプロイするための AWS Service Catalog 製品
   
   • AWS Service Catalog を使うことで、登録要求が発生した際に AWS コンソール上で対話的に情報を登録して自動で必要なリソースの配置を行うことができるようにする意図があります。
     

ファイルを送受信するアカウントです。これらのアカウントは、Media Exchange Account 上の共有 S3 バケットに対する書き込み（送信者のみ）と読み取りの権限を持っています。また、共有 S3 バケットでの操作ログが流れてくる Amazon SQS キューを持っています。

今回のソリューションでは、以下のサービスを使用します。

それでは、実際にこのソリューションをデプロイ・実行してみましょう！

注意事項

このソリューションを完全に再現するには、3 つの AWS アカウントが必要です。しかし、複数のアカウントを持っていない場合、このソリューションを試すためにさらに 2 つの AWS アカウントを作成するのは大変だという場合も多いと思います。そこで、本記事では送信用・受信用アカウントとして個別のアカウントを用意する方法（以降、複数アカウント環境と呼びます）だけでなく、 IAM ロールを活用して中継アカウント内でシミュレートする方法（以降、単一アカウント環境と呼びます）も併せてご紹介します。

この手順は、複数・単一アカウント環境で共通の手順です。

この手順は、単一アカウント環境でのみ必要な手順です。

先にも述べたように、単一アカウント環境では送信者・受信者用にさらに2つ AWS アカウントを用意するのではなく、同一のアカウント内で IAM ロールを使ったシミュレーションを行います。ここでは、そのための IAM ロールを作成する方法について説明します。

次の「許可を追加」画面ではなにも変更せず、そのまま「次へ」を選んでください。

最後の「名前、確認、および作成」画面で「ロール名」に mediaexchange-publisher-role と入力し、下までスクロールして「ロールを作成」をクリックしてください。

ポリシー作成画面が開いたら、「ビジュアルエディタ」ではなく「JSON」タブを選択して、既存の文字を入力欄から全て消した後、以下の JSON をそのまま貼り付けます。貼り付けが完了したら、画面右下の「ポリシーの確認」をクリックします。

ポリシーの確認画面で「名前」に MediaPublisherPolicy と入力し、「ポリシーの作成」をクリックして作成を完了します。

基本的な作成フローは送信者の場合と同じです。ロール作成では、最後の「名前、確認、および作成」画面で「ロール名」に mediaexchange-subscriber-role と入力する以外は送信者の場合と全く同じ操作になります。

作成後、ロールの詳細画面を開いたら、「ARN」と「コンソールでロールを切り替えるためのリンク」をそれぞれコピーし、手元の PC のメモ帳アプリなどで一時保存しておいてください。一時保存ができたら、「許可ポリシー」欄の右側にある「許可を追加」から「インラインポリシーを作成」を選択し、ポリシー作成画面を開きます。

ポリシー作成画面が開いたら、「JSON」タブを選択して、既存の文字を入力欄から全て消した後、以下の JSON をそのまま貼り付けます。貼り付けが完了したら、画面右下の「ポリシーの確認」をクリックします。

ポリシーの確認画面で「名前」に MediaSubscriberPolicy と入力し、「ポリシーの作成」をクリックして作成を完了します。

この手順は、複数・単一アカウント環境で共通の手順です。途中で設定項目が両者で異なる箇所があります。

そのまま下にスクロールし、「パラメータ」欄の “PublisherName” に Publisher-1 と入力してください。

これらを行なったら、「製品を起動」を押して、リソースの作成を行います。

この手順は、複数・単一アカウント環境で共通の手順です。途中で設定項目が両者で異なる箇所があります。

AWS Service Catalog コンソールの左側メニューから再度「製品」を選択し、今度は Subscriber を選択して「製品を起動」ボタンをクリックします。

先ほどと同様の手順で、「プロビジョニングされた製品の名前」に Subscriber-1 と入力します。次に、「製品バージョン」は「v1.1.0」を選択します。そのまま下にスクロールし、「パラメータ」欄の “SubscriberName” に Subscriber-1 と入力し、“Email” 欄には、ご自身のメールアドレスを入力してください。

これらを行なったら、「製品を起動」を押して、リソースの作成を行います。

すると、プロビジョニングされた製品の詳細画面が表示されるので、「ステータス」が「使用可能」になるまで待ってください。「ステータス」が「使用可能」になったら、次の手順に移ります。

この手順は、複数・単一アカウント環境で共通の手順です。

AWS Service Catalog コンソールの左側メニューから再度「製品」を選択し、今度は Transfer agreement を選択して「製品を起動」ボタンをクリックします。

この手順は、複数・単一アカウント環境で共通の手順です。

この手順は、単一アカウント環境にのみあてはまる手順です。複数アカウント環境の場合は Step 7-B を参照してください。

手順「送信者用の IAM ロール」で保存した URL を、ブラウザのアドレス欄に貼り付けてアクセスします。すると、「ロールの切り替え」画面が表示されるので、何も変更せずそのまま「ロールの切り替え」ボタンをクリックしてください。

この手順は、複数アカウント環境にのみあてはまる手順です。単一アカウント環境の場合は Step 7-A を参照してください。

まず、中継アカウントからサインアウトし、送信者アカウントにログインします。ログインが完了したら、Step 6 の最後で控えた ExchangeBucket の「物理 ID」を使って、以下のような URL を組み立てます（<物理ID> を控えた物理 ID に置き換えてください）。

組み立てた URL をブラウザの新しいタブに入力しアクセスすると、共有バケットにアクセスすることができます。バケットを開いたら、好きなファイルをアップロードしてみましょう。

この手順は、単一アカウント環境にのみあてはまる手順です。複数アカウント環境の場合は Step 8-B を参照してください。

切り替えが完了したら、Amazon S3 を AWS コンソール上で開きます。バケットの中から、exchangebucket と名前がついているものを選択して、クリックしてください。exchangelogbucket と名前がついている方ではないことに注意してください。

この手順は、複数アカウント環境にのみあてはまる手順です。単一アカウント環境の場合は Step 8-A を参照してください。

まず、送信者アカウントからサインアウトし、受信者アカウントにログインします。ログインが完了したら、Step 7-B で組み立てた URL を再度ブラウザの新しいタブに入力し、アクセスしてください。なお、URL の組み立ては Step 5 の最後で控えた ExchangeBucket の「物理 ID」を使って、以下のように行います（<物理ID> を控えた物理 ID に置き換えてください）。

すると、先ほどアップロードしたファイルが表示されていることがわかると思います。試しにダウンロードしてみましょう。すると、何の問題もなくダウンロードができると思います。一方で、ファイルの削除やアップロードはどうでしょうか。今回は、エラーがでて操作が拒否されると思います。これは、受信者には読み取り権限しか付与されていないためです。

この手順は、複数・単一アカウント環境で共通の手順です。

• 単一アカウント環境の場合 : 元のアカウントの権限に戻ります。右上のアカウント名が表示されている部分をクリックして、「スイッチバック」をクリックします。
• 複数アカウント環境の場合 : 中継者アカウントに再度ログインし、AWS マネジメントコンソールを開いてください。

まず、AWS Service Catalog を用いて作成した送信者、受信者、および送信者と受信者の紐付けを削除します。

削除したい製品を選択し、「アクション」から「終了」を選び、これを 3 回繰り返します。ただし、削除は 1 つずつ順番に行うようにしてください。

削除が終了したら、元のアカウントの権限に戻ります。右上のアカウント名が表示されている部分をクリックして、「スイッチバック」をクリックします。

この手順は、単一アカウント環境にのみ必要になります。

IAM を開き、mediaexchange-publisher-role と mediaexchange-subscriber-role を IAM ロールから削除してください。

Amazon S3 コンソールを開き、バケット名に exchangelogbucket と exchangebucket が入っているものを選択して削除してください。削除する前にバケットの中身を空にする必要がある場合は、その作業を先に行ってください。

中継アカウントで、10 TB のデータ転送を US East (N. Virginia) で行った場合の料金の見積もりは以下のようになります。なお、送信者・受信者アカウントについては、今回のソリューションをデプロイすることによる追加料金は発生しません。

今回の記事では「AWS での Media Exchange」のソリューションをご紹介しました。CloudFormation と AWS Service Catalog を使った簡単な設定で、受信者と送信者側で IAM 権限などを変更することなく、安全に Amazon S3 上のファイル共有を行えることがお分かりになったと思います。このソリューションを利用して、みなさんがより安全に Amazon S3 上でファイルを共有できるお手伝いができれば幸いです。

builders.flash では、他にもさまざまな AWS ソリューションの紹介記事を投稿しています。次回の記事もぜひお楽しみに！