Amazon S3 バケットにある特定のフォルダへのアクセス権を、ユーザーに付与するにはどうすればよいですか?

最終更新日: 2020 年 11 月 5 日

AWS Identity and Access Management (IAM) ユーザーに対し、Amazon Simple Storage Service (Amazon S3) バケットにある特定のフォルダーへのアクセス権を付与したいと思います。その方法を教えてください。

解決方法

IAM ユーザーが、S3 バケットと同じ AWS アカウントに属しているのであれば、IAM ポリシーを使用して、そのバケットの特定のフォルダーに対するアクセス権を、ユーザーに付与することができます。バケットのポリシーで、対象のフォルダーに対するユーザーからのアクセスを明示的に拒否していなければ、IAM ポリシーによりアクセス権を付与するだけで、バケット側のポリシーを変更する必要はありません。 IAM ポリシーは、個別の IAM ユーザーに追加することも、複数のユーザーが切り替えられるように IAM ロールにアタッチすることも可能です。

IAM ID（ユーザーもしくはロール）と S3 バケットが、それぞれ異なる AWS アカウントに属している場合は、IAM ポリシーとバケットポリシーの両方に、アクセス権を付与する必要があります。クロスアカウントのアクセスの詳細については、別の AWS アカウントのユーザーに、オブジェクトを Amazon S3 バケットにアップロードするアクセス権を与えるにはどうすれば良いですか？、を参照してください。

次に示す IAM ポリシーの例では、DOC-EXAMPLE-BUCKET/media フォルダーから、Amazon S3 コンソールを使用してオブジェクトをダウンロードすることを、ユーザーに許可しています。このポリシーには以下のようなステートメントが含まれています。

AllowStatement1 により、ユーザーに対し、同じ AWS アカウントに属するバケットをリストする権限を付与します。ユーザーには、コンソールを使用して対象のバケットを開くために、この権限が必要です。
AllowStatement2A により、ユーザーが DOC-EXAMPLE-BUCKET にあるフォルダーをリストできるように許可します。このリストは、ユーザーがコンソールを使用してフォルダーを開くために必要です。同時にこのステートメントでは、ユーザーがコンソールを使用して、プレフィックス media/ により検索することも許可しています。
AllowStatement3 では、DOC-EXAMPLE-BUCKET/media にあるコンテンツをリストする権限を、ユーザーに対し付与します。
AllowStatement4A により、DOC-EXAMPLE-BUCKET/media フォルダーからオブジェクト（s3:GetObject）をダウンロードすることを、ユーザーに対し許可します。

{
 "Version":"2012-10-17",
 "Statement": [
   {
     "Sid": "AllowStatement1",
     "Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
     "Effect": "Allow",
     "Resource": ["arn:aws:s3:::*"]
   },
  {
     "Sid": "AllowStatement2A",
     "Action": ["s3:ListBucket"],
     "Effect": "Allow",
     "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET"],
     "Condition":{"StringEquals":{"s3:prefix":["","media"]}}
    },
  {
     "Sid": "AllowStatement3",
     "Action": ["s3:ListBucket"],
     "Effect": "Allow",
     "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET"],
     "Condition":{"StringLike":{"s3:prefix":["media/*"]}}
    },    
   {
     "Sid": "AllowStatement4A",
     "Effect": "Allow",
     "Action": ["s3:GetObject"],
     "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET/media/*"]
   }
 ]
}

別の例として次の IAM ポリシーでは、DOC-EXAMPLE-BUCKET/media に対するオブジェクトのダウンロードとアップロードを、（AWS Command Line Interface (AWS CLI) あるいは the Amazon S3 API などの）コンソールもしくはプログラム的な手段により実行することを、ユーザーに許可しています。前出の IAM ポリシーとの違いは次のとおりです。

AllowStatement2B には "s3:delimiter":["/"] が含まれています。この記述により、オブジェクトのパスに含まれるフォルダーの区切り記号として、スラッシュ（/）を指定しています。ユーザーが、AWS CLI あるいは Amazon S3 API を使用してリクエストを生成する場合は、区切り記号を指定しておくことがベストプラクティスです。
AllowStatement4B により、DOC-EXAMPLE-BUCKET/media フォルダーに対するオブジェクトのダウンロード（s3:GetObject）とアップロード（s3:PutObject）を、ユーザーに許可しています。

{
 "Version":"2012-10-17",
 "Statement": [
   {
     "Sid": "AllowStatement1",
     "Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
     "Effect": "Allow",
     "Resource": ["arn:aws:s3:::*"]
   },
  {
     "Sid": "AllowStatement2B",
     "Action": ["s3:ListBucket"],
     "Effect": "Allow",
     "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET"],
     "Condition":{"StringEquals":{"s3:prefix":["","media"],"s3:delimiter":["/"]}}
    },
  {
     "Sid": "AllowStatement3",
     "Action": ["s3:ListBucket"],
     "Effect": "Allow",
     "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET"],
     "Condition":{"StringLike":{"s3:prefix":["media/*"]}}
    },
   {
     "Sid": "AllowStatement4B",
     "Effect": "Allow",
     "Action": ["s3:GetObject", "s3:PutObject"],
     "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET/media/*"]
   }
 ]
}

Amazon S3 バケットにある特定のフォルダへのアクセス権を、ユーザーに付与するにはどうすればよいですか?

解決方法

関連情報