S3 ディレクトリバケットでのタグの使用

AWS タグは、リソースに関するメタデータを保持するキーと値のペアで、この場合は、Amazon S3 ディレクトリバケットです。S3 ディレクトリバケットは、作成時にタグ付けしたり、既存のディレクトリバケットのタグを管理したりできます。ディレクトリバケットでタグを使用することによる追加料金は、標準の S3 API リクエスト料金を超えて発生しません。詳細については、「Amazon S3 の料金」を参照してください。

タグの仕組み

Amazon S3 ディレクトリバケットは、次の 2 種類のタグをサポートしています。

ユーザー定義タグ

ユーザー定義タグは、リソースのラベル付けに使用するタグのキーと値のペアです。ユーザー定義タグは、必須のキーとオプションの値で構成されます。ユーザー定義タグの主要なコンポーネントは次のとおりです。

タグキー

タグキーは、必須のタグ名です。例えば、project は、次のタグキーと値のペアのタグキーです。

タグキーは大文字小文字を区別する文字列で、1～128 個の Unicode 文字が含まれている必要があります。

タグ値

タグ値は、オプションの文字列です。例えば、Trinity は、このタグキーと値のペアのタグ値です。

タグ値は大文字小文字を区別する文字列で、0～256 個の Unicode 文字を含めることができます。

ユーザー定義タグで使用できる文字や他の制限の詳細については、「AWS Billing and Cost Management ユーザーガイド」の「ユーザー定義タグの制限」を参照してください。

タグセット

各 S3 ディレクトリバケットには、そのバケットに割り当てられたすべてのタグキーと値のペアを含むタグセットが 1 つあります。タグセットには最大 50 個のユーザー定義タグを含めることができ、空にすることもできます。

各キーはタグセット内で一意である必要がありますが、同じ値を複数回使用できます。例えば、次の 2 つのタグキーに対して同じ値、Trinity を持つことができます。

既存のタグと同じキーを持つタグをバケットに追加した場合、古い値は新しい値によって上書きされます。

AWS はタグに意味論的意味を適用しません。単なる文字列としてタグを解釈します。

タグを追加、一覧表示、変更、削除するには、Amazon S3 コンソール、AWS コマンドラインインターフェイス (AWS CLI)、または Amazon S3 API を使用します。

タグを使用する一般的な方法

S3 ディレクトリバケットのタグを以下に使用します。

コスト配分のタグを使用する

Amazon S3 ストレージコストを追跡するには、S3 ディレクトリバケットにタグを適用し、これらのタグをコスト配分用に有効にします。

コストの追跡を開始するには。

AWS は、アクティブ化されたタグを使用して、次のようなさまざまな請求およびコスト管理ツールでリソースコストを整理します。

タグの属性ベースのアクセス制御 (ABAC) を使用する

属性ベースのアクセス制御 (ABAC) は、属性すなわちタグに基づいてアクセス許可を定義する認可戦略です。AWS Identity and Access Management (IAM) エンティティ (ユーザーまたはロール) および Amazon S3 ディレクトリバケットなどの AWS リソースにタグをアタッチできます。次に、アクセスコントロールポリシーのタグベースの条件を使用してこれらのリソースへのアクセス許可を制御し、これらの条件が満たされたときにオペレーションを許可または拒否します。

S3 ディレクトリバケットの ABAC

Amazon S3 ディレクトリバケットは、タグを使用した属性ベースのアクセス制御 (ABAC) をサポートしています。AWS 組織、IAM、S3 ディレクトリバケットポリシーでタグベースの条件キーを使用します。エンタープライズの場合、Amazon S3 の ABAC は複数の AWS アカウントにわたる認可をサポートしています。

IAM ポリシーでは、次のグローバル条件キーを使用して、バケットのタグに基づいて S3 ディレクトリバケットへのアクセスを制御できます。

ポリシーの例

Amazon S3 ディレクトリバケットの次の ABAC ポリシーの例を参照してください。

1.1 - 特定のタグを持つバケットを作成または変更する IAM ポリシー

この IAM ポリシーでは、このポリシーを持つユーザーまたはロールは、バケットの作成リクエストでタグキー project とタグ値 Trinity を使用してバケットにタグを付ける場合にのみ、S3 ディレクトリバケットを作成できます。また、TagResource リクエストにタグのキーと値のペア project:Trinity が含まれている限り、既存の S3 ディレクトリバケットのタグを追加または変更できます。このポリシーは、バケットまたはそのオブジェクトに対する読み取り、書き込み、または削除のアクセス許可を付与しません。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3express:CreateBucket",
        "s3express:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - タグを使用してバケットのオペレーションを制限するバケットポリシー

このバケットポリシーでは、IAM プリンシパル (ユーザーとロール) は、バケットの project タグの値がプリンシパルの project タグの値と一致する場合にのみ、バケットの CreateSession アクションを使用してオペレーションを実行できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3express:CreateSession",
      "Resource": "arn:aws:s3express:us-west-2:111122223333:bucket/amzn-s3-demo-bucket--usw2-az1--x-s3",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 - タグ付け管理を維持する既存リソースのタグを変更する IAM ポリシー

この IAM ポリシーでは、IAM プリンシパル (ユーザーまたはロール) は、バケットの project タグの値がプリンシパルの project タグの値と一致する場合にのみ、バケットのタグを変更できます。条件キー aws:TagKeys で指定された project、environment、owner、および cost-center の 4 つのタグのみが、これらのディレクトリバケットに対して許可されます。これにより、タグガバナンスの適用、不正なタグ変更の防止、およびバケット間でのタグ付けスキーマの一貫性の維持が可能になります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3express:TagResource"
      ],
      "Resource": "arn:aws:s3express:*:*:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - s3express:BucketTag 条件キーを使用する

この IAM ポリシーでは、条件ステートメントは、バケットにタグキー Environment とタグ値 Production がある場合にのみ、バケットのデータへのアクセスを許可します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessToSpecificAccessPoint",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws:s3express:*:*:accesspoint/*",
      "Condition": {
        "StringEquals": {
          "s3express:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

タグの操作

Amazon S3コンソール、AWS コマンドラインインターフェイス (CLI)、AWS SDK、または S3 API、TagResource、UntagResource、ListTagsForResource を使用して、S3 ディレクトリバケットのタグを追加または管理できます。詳細については、以下を参照してください。