S3 汎用バケットでタグを使用する

AWS タグは、リソースに関するメタデータを保持するキーと値のペアで、この場合は、Amazon S3 汎用バケットです。S3 バケットは、作成時にタグ付けしたり、既存のバケットのタグを管理したりできます。タグに関する一般情報については、「コスト配分または属性ベースのアクセス制御 (ABAC) のタグ付け」を参照してください。

バケットでタグを使用する一般的な方法

S3 バケットのタグを以下に使用します。

S3 汎用バケットの ABAC

Amazon S3 汎用バケットは、タグを使用した属性ベースのアクセス制御 (ABAC) をサポートしています。AWS Organizations、IAM、S3 バケットポリシーでタグベースの条件キーを使用します。エンタープライズの場合、Amazon S3 の ABAC は複数の AWS アカウントにわたる認可をサポートしています。

IAM ポリシーでは、次のグローバル条件キーを使用して、バケットのタグに基づいて S3 バケットへのアクセスを制御できます。

バケットの ABAC ポリシーの例

Amazon S3 バケットの次の ABAC ポリシーの例を参照してください。

1.1 - 特定のタグを持つバケットを作成または変更するための IAM ポリシー

この IAM ポリシーでは、このポリシーを持つユーザーまたはロールは、バケットの作成リクエストでタグキー project とタグ値 Trinity を使用してバケットにタグを付ける場合にのみ、S3 バケットを作成できます。また、TagResource リクエストにタグのキーと値のペア project:Trinity が含まれている限り、既存の S3 バケットのタグを追加または変更できます。このポリシーは、バケットまたはそのオブジェクトに対する読み取り、書き込み、または削除のアクセス許可を付与しません。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - オペレーションを制限するバケットポリシー

このバケットポリシーでは、バケットの project タグの値がプリンシパルの project タグの値と一致する場合にのみ、IAM プリンシパル (ユーザーとロール) のバケットに対する s3:ListBucket、s3:GetObject、および s3:PutObject アクションが拒否されます。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DenyObjectOperations",
            "Effect": "Deny",
            "Principal": "*",
            "Action": ["s3:ListBucket",
                       "s3:GetObject",
                       "s3:PutObject"],
            "Resource": "arn:aws:s3:::aws-s3-demo/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
                }
            }
        }
    ]
}

1.3 - 既存リソースのタグを変更するための IAM ポリシー

この IAM ポリシーでは、IAM プリンシパル (ユーザーまたはロール) は、バケットの project タグの値がプリンシパルの project タグの値と一致する場合にのみ、バケットのタグを変更できます。条件キー aws:TagKeys で指定された project、environment、owner、および cost-center の 4 つのタグのみが、これらのバケットに対して許可されます。これにより、タグガバナンスの適用、不正なタグ変更の防止、およびバケット間でのタグ付けスキーマの一貫性の維持が可能になります。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3:TagResource",
        "s3:CreateBucket"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - s3:BucketTag 条件キーを使用する

この IAM ポリシーでは、条件ステートメントは、バケットにタグキー Environment とタグ値 Production がある場合にのみ、aws-s3-demo バケットのデータへのアクセスを許可します。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowAccessViaSpecificBucket",
      "Effect": "Allow",
      "Action": "*",
      "Resource": ["arn:aws:s3:::aws-s3-demo","arn:aws:s3:::aws-s3-demo/*"],
      "Condition": {
        "StringEquals": {
          "s3:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

汎用バケットのタグの管理

Amazon S3コンソール、AWS コマンドラインインターフェイス (CLI)、AWS SDK、または S3 API、TagResource、UntagResource、ListTagsForResource を使用して、S3 バケットのタグを追加または管理できます。詳細については、以下を参照してください。