このページは、Vaults と 2012 年の元の REST API を使用する Amazon Glacier サービスの既存のお客様専用です。

アーカイブストレージソリューションをお探しの場合は、Amazon Glacier Amazon S3、S3 Glacier Flexible Retrieval、S3 S3 Glacier Deep Archive の Amazon Glacier ストレージクラスを使用することをお勧めします。これらのストレージオプションの詳細については、Amazon Glacier ストレージクラス」を参照してください。

Amazon Glacier (元のスタンドアロンボールトベースのサービス) は、2025 年 12 月 15 日以降、既存の顧客に影響を与えずに新規顧客を受け入れなくなります。Amazon Glacier は、ボールトにデータを保存する独自の APIs を備えたスタンドアロンサービスであり、Amazon S3 および Amazon S3 Glacier ストレージクラスとは異なります。既存のデータは Amazon Glacier で無期限に安全でアクセス可能です。移行は必要ありません。低コストの長期アーカイブストレージの場合、 は Amazon S3 Glacier ストレージクラス AWS を推奨します。これにより、S3 バケットベースの APIs、フル AWS リージョン 可用性、低コスト、 AWS サービス統合で優れたカスタマーエクスペリエンスを実現できます。拡張機能が必要な場合は、Amazon Glacier ボールトから Amazon S3 Glacier ストレージクラスにデータを転送するためのソリューションガイダンスを使用して、Amazon S3 Glacier ストレージクラスへの移行を検討してください。 AWS Amazon Glacier Amazon S3

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Glacier のアイデンティティベースのポリシーの例

デフォルトでは、ユーザーとロールには Amazon Glacier リソースを作成または変更するアクセス許可はありません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。

これらサンプルの JSON ポリシードキュメントを使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

各リソースタイプの ARN の形式など、Amazon Glacier で定義されるアクションとリソースタイプの詳細については、「サービス認可リファレンス」のAmazon Glacier のアクション、リソース、および条件キー」を参照してください。 ARNs

以下は、us-west-2 AWS リージョン内のすべてのボールトを識別する Amazon リソースネーム (ARN) を使用して、リソースに対する 3 つの Amazon Glacier ボールト関連アクション (、、) glacier:DescribeVault のアクセス許可を付与するポリシーの例です。glacier:CreateVault glacier:ListVaultsARNs AWS リソースを一意に識別します。Amazon Glacier で使用される ARNs「」を参照してくださいAmazon Glacier のポリシーリソース。

JSON

      {
         "Version":"2012-10-17",		 	 	 
         "Statement": [
            {
               "Effect": "Allow",
               "Action": [
               "glacier:CreateVault",
               "glacier:DescribeVault",
               "glacier:ListVaults"
               ],
               "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*"
            }
         ]
      }

ポリシーは、us-west-2 リージョンでのボールトの作成、一覧表示、説明の取得を行う権限を付与します。ARN の末尾のワイルドカード文字 (*) は、このステートメントはどのボールト名とも一致する可能性があることを意味します。

ポリシーに関するベストプラクティス

ID ベースのポリシーは、アカウント内で誰かが Amazon Glacier リソースを作成、アクセス、または削除できるかどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、「IAM ユーザーガイド」の「IAM でのセキュリティのベストプラクティス」を参照してください。

Amazon Glacier コンソールの使用

Amazon Glacier コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらのアクセス許可により、 の Amazon Glacier リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

Amazon Glacier コンソールには、Amazon Glacier ボールトを作成および管理するための統合環境が用意されています。次の例に示すように、作成する少なくとも IAM ID には、Amazon Glacier コンソールを表示するためのアクセス許可が glacier:ListVaultsアクションに付与されている必要があります。

JSON

         {
               "Version":"2012-10-17",		 	 	 
               "Statement": [
                  {
                     "Action": [
                     "glacier:ListVaults"     
                     ],
                     "Effect": "Allow",
                     "Resource": "*"
                  }
               ]
            }

AWS は、 によって作成および管理されるスタンドアロン IAM ポリシーを提供することで、多くの一般的なユースケースに対処します AWS。マネージドポリシーは、一般的ユースケースに必要な許可を付与することで、どの許可が必要なのかをユーザーが調査する必要をなくすることができます。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

アカウントのユーザーにアタッチできる以下の AWS 管理ポリシーは、Amazon Glacier に固有のものです。

独自のカスタム IAM ポリシーを作成して、Amazon Glacier API アクションとリソースのアクセス許可を許可することもできます。これらのカスタムポリシーは、Amazon Glacier ボールト用に作成するカスタム IAM ロールにアタッチできます。

次のセクションで説明する Amazon Glacier AWS 管理ポリシーの両方が、 のアクセス許可を付与しますglacier:ListVaults。

詳細については、「IAM ユーザーガイド」の「ユーザーへのアクセス許可の追加」を参照してください。

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

お客様が管理するポリシーの例

このセクションでは、さまざまな Amazon Glacier アクションのアクセス許可を付与するユーザーポリシーの例を示します。これらのポリシーは、Amazon Glacier REST API、Amazon SDKs、、 AWS CLIまたは該当する場合は Amazon Glacier マネジメントコンソールを使用している場合に機能します。

例 1: ボールトからのアーカイブのダウンロードをユーザーに許可する

アーカイブをダウンロードするには、まずアーカイブを取得するジョブを開始します。取得ジョブが完了したら、データをダウンロードできます。次のポリシー例では、ジョブを開始する glacier:InitiateJob アクションと、取得したデータをダウンロードするアクションのアクセス権限 (ユーザーにボールトからのアーカイブまたはボールトインベントリの取得を許可する) を付与して、glacier:GetJobOutput アクションに対するアクセス権限を付与して、取得したデータをダウンロードします。このポリシーは、ユーザーがジョブのステータスを確認できるように、glacier:DescribeJob アクションを実行できる権限も付与します。詳細については、「ジョブの開始 (ジョブの POST)」を参照してください。

ポリシーは、examplevault という名前のボールトにこれらのアクセス権限を付与します。ボールト ARN は、Amazon Glacier コンソールから、またはプログラムで ボールトの説明 (GET vault)または ボールトのリスト (GET vaults) API アクションを呼び出すことで取得できます。

例 2: ボールトの作成と通知設定をユーザーに許可する

次のポリシー例では、Resource 要素で指定されているように、us-west-2 リージョンにボールトを作成するアクセス許可を付与し、通知設定を行います。通知の操作方法の詳細については、「Amazon Glacier でのボールト通知の設定」を参照してください。このポリシーは、 AWS リージョン内のボールトを一覧表示し、特定のボールトの説明を取得するアクセス許可も付与します。

例 3: ユーザーに特定のボールトへのアーカイブのアップロードを許可する

次のポリシー例では、us-west-2 リージョンの特定のボールトにアーカイブをアップロードする権限を付与します。これらの権限は、ユーザーが アーカイブのアップロード (POST archive) API オペレーションを使用し、または部分的に マルチパートアップロードの開始 (POST multipart-uploads) API オペレーションを使用して、すべてのアーカイブをアップロードすることを許可します。

例 4: ユーザーに特定のボールトのフルアクセス権限を許可する

次のポリシー例では、 という名前のボールトに対するすべての Amazon Glacier アクションのアクセス許可を付与しますexamplevault。