Amazon S3 の特徴

S3 ストレージレンズは、オブジェクトストレージの使用状況とアクティビティの傾向を組織全体で可視化します。また、費用対効果を向上させ、データ保護のベストプラクティスを適用するための、実用的な推奨事項を作成します。S3 Storage Lens は、組織内の数百から数千のアカウント全体での、オブジェクトストレージの使用状況とアクティビティを 1 つのビューに表示できる、最初のクラウドストレージ分析ソリューションです。アカウント、バケット、さらにはプレフィックスレベルでの詳細な洞察が提供されます。S3 ストレージレンズは、お客様がストレージを最適化するのを支援してきた 16 年以上の経験から、コンテキストに応じた推奨事項を提供して、組織全体の指標を分析して、ストレージコストを削減し、データ保護にベストプラクティスを適用する方法を見つけられるようにします。 

Amazon S3 ストレージクラス分析を使用してストレージアクセスパターンを分析し、適切なデータを適切なストレージクラスにいつ移行するかを決定するのに役立てます。この Amazon S3 機能は、データアクセスパターンを監視して、アクセス頻度の低いストレージを低コストのストレージクラスにいつ移行するかを決定するのに役立ちます。結果を使用して、S3 ライフサイクルポリシーの改善に役立てることができます。バケット内のすべてのオブジェクトを分析するようにストレージクラス分析を設定できます。あるいは、共通のプレフィックス、オブジェクトタグ、またはプレフィックスとタグの両方で分析するために、オブジェクトをグループ化するようにフィルターを設定できます。詳細については、ストレージ分析とインサイトのページをご覧ください。

Amazon S3 Tables は、オープンテーブル形式のサポートが組み込まれた初めてのクラウドオブジェクトストアであり、表形式のデータを大規模に保存する最も簡単な方法でもあります。S3 テーブルは分析ワークロード専用に最適化されているため、セルフマネージドテーブルと比較して、クエリパフォーマンスが最大 3 倍速く、1 秒あたりのトランザクション数が最大 10 倍多くなります。S3 Tables は Apache Iceberg 標準をサポートしており、一般的な AWS やサードパーティーのクエリエンジンで簡単にクエリを実行できます。さらに、S3 テーブルは、データレイクが拡大し進化しても、継続的にテーブルメンテナンスを実行して、クエリ効率とストレージコストを時間の経過とともに自動的に最適化するように設計されています。 S3 Tables と AWS Glue データカタログの統合はプレビュー段階にあり、Amazon Data Firehose、Amazon Athena、Amazon Redshift、Amazon EMR、Amazon QuickSight などの AWS 分析サービスを使用して、S3 Metadata テーブルを含むデータのストリーミング、クエリ、および可視化を行うことができます。

S3 テーブルでは、テーブルバケットを使用しています。これは、表形式のデータを格納するための新しいバケットタイプです。テーブルバケットを使用すると、テーブルを簡単に作成し、テーブルレベルの権限を設定してデータレイクへのアクセスを管理できます。その後、標準 SQL を使用してテーブルにデータをロードしてクエリし、行レベルのトランザクション、クエリ可能なスナップショット、スキーマの進化などの Apache Iceberg の高度な分析機能を活用できます。テーブルバケットはポリシー主導型のテーブルメンテナンスも提供するため、コンパクション、スナップショット管理、未参照ファイルの削除などの運用タスクを自動化できます。

Amazon S3 は、特定のデータ境界にデータを保存する必要がある場合に、データレジデンシーとデータ分離のユースケースをサポートします。既存の AWS リージョンでは満たせないデータレジデンシー要件がある場合は、AWS 専有ローカルゾーン用の S3 ストレージクラスまたは Outposts ラックの S3 ストレージクラスを使用して、特定のデータ境界にデータを保存できます。これは、クラウドの極めて高度な一連の主権コントロールと機能を提供するという当社のコミットメントである AWS Digital Sovereignty Pledge をさらに拡大したものです。

デフォルトでは、Amazon S3 のデータを保護するために、ユーザーは作成した S3 リソースにのみアクセスすることができます。次のアクセス管理機能の 1 つまたは組み合わせを使用して、他のユーザーにアクセスを許可できます。AWS Identity and Access Management (IAM) を使用してユーザーを作成し、それぞれのアクセスを管理します。許可されたユーザーが個々のオブジェクトにアクセスできるようにするためのアクセス制御リスト (ACL)。単一の S3 バケット内のすべてのオブジェクトのアクセス許可を設定するバケットポリシー。各アプリケーションまたはアプリケーションのセットに固有の名前とアクセス許可を持つアクセス ポイントを作成することにより、共有データ セットへのデータ アクセスの管理を簡素化する S3 アクセスポイント。S3 Access Grants により、企業のアイデンティティに基づいてエンドユーザーに S3 アクセスを自動的に付与することでデータのアクセス許可を大規模に管理できます。クエリ文字列認証により、一時的な URL を使用して時間制限付きのアクセスを他のユーザーに許可します。Amazon S3 では、S3 リソースに対して行われたリクエストを一覧表示する監査ログもサポートしており、アクセスしたユーザーとアクセスされたデータを明確に把握することができます。

Amazon S3 は、アクセス許可のないユーザーによるデータへのアクセスをブロックする柔軟なセキュリティ機能を提供します。VPC エンドポイントを使用して Amazon Virtual Private Cloud (Amazon VPC) とオンプレミスから S3 リソースに接続します。Amazon S3 は、任意のバケットへのすべての新規データのアップロードを暗号化します。（2023 年 1 月 5 日現在）。Amazon S3 は、データのアップロードにはサーバー側の暗号化 (4 つのキー管理オプションを使用) とクライアント側の暗号化 (S3 によるデータ暗号化の詳細については、 Amazon S3 ユーザーガイドを参照してください) の両方をサポートしています。S3 オブジェクトの暗号化ステータスを確認するには、S3 インベントリを使用します (S3 インベントリの詳細についてはストレージ管理を参照)。

S3 ブロックパブリックアクセスは、S3 バケットとオブジェクトにパブリックアクセス権を付与しない一連のセキュリティコントロールです。パブリックアクセスブロックは、すべての新しいバケットでデフォルトで有効になっていますAmazon S3 コンソールで数回クリックするだけで、AWS アカウント内のすべてのバケットまたは特定の S3 バケットに S3 ブロックパブリックアクセス設定を適用することができます。設定が AWS アカウントに適用されると、すべての既存または新しいバケットと、そのアカウントに関連付けられたオブジェクトは、パブリックアクセスを防止する設定を継承します。S3 ブロックパブリックアクセス設定は、他の S3 アクセス許可よりも優先され、オブジェクトの追加方法、バケットの作成方法、または既存のアクセス許可があるかどうかに関係なく、アカウント管理者は「パブリックアクセスなし」ポリシーを適用しやすくなります。S3 ブロックパブリックアクセスコントロールは監査可能で、制御レイヤーを追加します。また、AWS Trusted Advisor のバケットのアクセス許可チェック、AWS CloudTrail ログ、Amazon CloudWatch アラームを使用します。 パブリックにアクセスしたくないすべてのアカウントとバケットに対して、ブロックパブリックアクセスを有効にする必要があります。

S3 Object Ownership は、アクセスコントロールリスト (ACL) を無効にし、すべてのオブジェクトの所有権をバケット所有者に変更し、S3 に保存されているデータのアクセス管理を簡素化する機能です。 S3 Object Ownership バケット所有者強制設定を構成すると、ACL はバケットとその中のオブジェクトのアクセス許可に影響を与えなくなります。すべてのアクセス制御は、リソースベースのポリシー、ユーザー ポリシー、またはこれらの組み合わせを使用して定義されます。 ACL を無効にする前に、バケットとオブジェクトの ACL を確認してください。認証のために ACL を必要とする Amazon S3 リクエストを特定するには、 Amazon S3 サーバーのアクセスログまたはAWS CloudTrailの aclRequired フィールドを使用することができます。

仮想プライベートクラウド (VPC) に制限されている S3 アクセスポイントを使用すると、プライベートネットワーク内で S3 データを簡単にファイアウォールできます。さらに、AWS サービスコントロールポリシーを使用して、組織内のすべての新規 S3 アクセスポイントを VPC 経由のアクセスに限定できます。

IAM Access Analyzer for S3 は、S3 バケットとアクセスポイントのポリシーを設定、検証、調整する際の権限管理を簡素化するのに役立つ機能です。Access Analyzer for S3 は、既存のバケットアクセスポリシーをモニタリングして、S3 リソースへの必要なアクセスのみを提供していることを確認します。Access Analyzer for S3 は、バケットアクセスポリシーを評価して、不要なアクセス権を持つバケットを迅速に修復できるようにします。バケットへ潜在的に共有されたアクセスを示す結果を確認する場合、S3 コンソールで 1 回クリックするだけで、バケットへのパブリックアクセスをブロックできます。監査のために、Access Analyzer for S3 の結果を CSV レポートとしてダウンロードできます。 また、S3 コンソールが、S3 ポリシーを作成するときに、IAM Access Analyzer からのセキュリティ警告、エラー、および提案をレポートします。コンソールは、ポリシーを検証するために 100 を超えるポリシーチェックを自動的に実行します。こうしたチェックは時間を節約し、エラーを解決するためのガイドとなり、セキュリティのベストプラクティスを適用するのに役立ちます。

IAM は、ユーザーまたはロールが最後に S3 や関連するアクションを使用したときのタイムスタンプを提供することにより、アクセスを分析し、アクセス許可を減らして最小特権を容易に達成できるようにします。この「最後にアクセスされた」情報を使用して、S3 アクセスを分析し、未使用のアクセス許可を識別して、確実に削除することができます。さらに詳しくは、サービスの最終アクセス時間データを使用したアクセス許可の調整をご覧ください。

また、Amazon Macie を使用して、Amazon S3 に保存されている機密データを検出、保護することもできます。Macie ではバケットレベルで完全な S3 インベントリが自動的に収集され、すべてのバケットが継続的に評価されるため、パブリックにアクセス可能なバケット、暗号化されていないバケット、またはお客様の組織外の AWS アカウントと共有したバケットや複製したバケットにアラートが表示されます。その後、選択したバケットに機械学習とパターンマッチング手法を適用し、個人を特定できる情報 (PII) などの機密データを特定してアラートを発信します。生成されたセキュリティの結果は Amazon CloudWatch Events へプッシュされます。これにより、既存のワークフローシステムとの統合や、AWS Step Functions などのサービス (パブリックバケットを閉じる、リソースタグを追加するなどのアクションを実行する) を使用した自動修復のトリガーが容易になります。

AWS PrivateLink for S3 は、Amazon S3 とオンプレミスの間でプライベート接続を行えるようにします。VPC で S3 のインターフェイス VPC エンドポイントをプロビジョニングして、オンプレミスアプリケーションを AWS Direct Connect または AWS VPN を介して S3 に直接接続できます。S3 の VPC エンドポイントのインターフェイスを作成するリクエストは、Amazon ネットワークを介して S3 に自動的にルーティングされます。セキュリティグループを設定し、インターフェイス VPC エンドポイントの VPC エンドポイントポリシーを設定して、アクセスコントロールを強化できます。

詳細については、S3 アクセス管理とセキュリティ、S3 セキュリティとデータ保護に関する eBook、Amazon S3 でのデータ保護をご覧ください。

AWS Data Exchange for Amazon S3 は、データプロバイダーの Amazon S3 データへの直接アクセスにより、インサイトへの時間を加速させます。AWS Data Exchange for Amazon S3 は、ストレージコストの最適化やデータライセンス管理の簡素化など、サードパーティーのデータファイルを簡単に検索、サブスクライブ、利用できるようにします。データコピーの作成や管理の必要なく、AWS サービスでのデータ分析にサードパーティーデータファイルを簡単に使用したいサブスクライバーを対象としています。また、Amazon S3 バケットにホストされているデータへのインプレースアクセスを提供したいデータプロバイダーにも役立ちます。

データサブスクライバーは、AWS Data Exchange for Amazon S3 データセットの権限を付与されるとデータ分析を開始できます。独自の S3 バケットの設定、そうした S3 バケットへのデータファイルのコピー、関連するストレージ料金の支払いを行う必要はありません。データ分析は、Amazon Athena、Amazon SageMaker Feature Store、Amazon EMR などの AWS のサービスを使用して行うことができます。サブスクライバーは、データプロバイダーが維持しているものと同じ S3 オブジェクトにアクセスします。そのため、エンジニアリングや運用上の追加作業を行うことなく、常に利用可能な最新のデータを使用できます。データプロバイダーは、既存の S3 バケット上に AWS Data Exchange for Amazon S3 を簡単に設定して、S3 バケット全体または特定のプレフィックスと S3 オブジェクトへの直接アクセスを共有できます。設定後、サブスクリプション、使用権限、請求、支払いについては、AWS Data Exchange で自動的に管理されます。

Amazon S3 は、クラウドオブジェクトストレージについて、業界をリードするパフォーマンスを提供します。Amazon S3 が並列リクエストをサポートしているので、アプリケーションのカスタマイズを行うことなく、コンピューティングクラスター数の倍率によって S3 のパフォーマンスを拡張することができます。プレフィックスごとにパフォーマンスが増大するため、必要なスループットを達成するために必要な数のプレフィックスを並列で使用することができます。プレフィックス数に制限はありません。Amazon S3 のパフォーマンスは、1 秒あたり少なくとも 3,500 のデータ追加リクエスト、および 1 秒あたり 5,500 のデータ取得リクエストをサポートします。それぞれの S3 プレフィックスがこうしたリクエストレートをサポートできるようになり、パフォーマンスを大幅に向上させることが簡単になります。

この S3 リクエストレートのパフォーマンスを達成するために、オブジェクトプレフィックスをランダム化してパフォーマンスを向上させる必要はありません。つまり、パフォーマンスに関係なく、S3 オブジェクトのネーミングで論理的または順次のネーミングパターンを使用できます。Amazon S3 のパフォーマンス最適化に関する最新情報については、Amazon S3 のパフォーマンスガイドラインおよび Amazon S3 のパフォーマンスデザインパターンを参照してください。