翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

S3 ストレージ | 作成

クラウドストレージ用の Amazon S3 バケットを作成します。

完全分類： デプロイ | 高度なスタックコンポーネント | S3 ストレージ | 作成

変更タイプの詳細

追加情報

S3 ストレージを作成する

結果のポリシー例を作成する S3 ストレージバケット

Amazon S3 ストレージバケットの作成方法に応じて、ポリシーを作成しました。これらのポリシー例は、 で提供されているさまざまな Amazon S3 作成シナリオと一致しますCLI を使用した S3 バケットの作成。

IAM ユーザーまたはロールに READ アクセスを付与します

結果のポリシー例では、IAM ユーザーまたはロールのバケット内のオブジェクトへの READ アクセスを許可します。

{
          "Sid": "AllowBucketReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.BUCKET_NAME"
      },
      {
          "Sid": "AllowObjectReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

S3 ストレージバケットでこのポリシーを作成するための実行パラメータ 変更タイプについては、「」を参照してください。 CLI を使用した S3 バケットの作成

IAM ユーザーまたはロールに WRITE アクセスを付与します

次の結果のポリシー例では、IAM ユーザーまたはロールのバケット内のオブジェクトへの WRITE アクセスを許可します。このポリシーは、バージョニングされたオブジェクトの削除に必要なアクセス許可を付与しません。

{
          "Sid": "AllowObjectWriteActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:PutObject",
              "s3:DeleteObject",
              "s3:AbortMultipartUpload"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

S3 ストレージバケットでこのポリシーを作成するための実行パラメータ 変更タイプについては、「」を参照してください。 CLI を使用した S3 バケットの作成

AWS サービスの READ アクセスを付与します

結果のポリシー例では、AWS サービスのバケット内のオブジェクトへの READ アクセスを許可します。

{
          "Sid": "AllowBucketReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
      },
      {
          "Sid": "AllowObjectReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

S3 ストレージバケットでこのポリシーを作成するための実行パラメータ 変更タイプについては、「」を参照してください。 CLI を使用した S3 バケットの作成

AWS サービスの WRITE アクセスを付与します

次の結果のポリシー例では、AWS サービスのバケット内のオブジェクトへの WRITE アクセスを許可します。このポリシーは、バージョニングされたオブジェクトの削除に必要なアクセス許可を付与しません。

{
      "Sid": "AllowObjectWriteActionsForServcices",
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "rds.amazonaws.com",
            "logs.ap-southeast-2.amazonaws.com",
            "ec2.amazonaws.com"
        ]
    },
    "Action": [
          "s3:PutObject",
          "s3:DeleteObject",
          "s3:AbortMultipartUpload"
      ],
      "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

S3 ストレージバケットでこのポリシーを作成するための実行パラメータ 変更タイプについては、「」を参照してください。 CLI を使用した S3 バケットの作成

EnforceSecureTransport を使用する

セキュアトランスポートを適用するポリシーの例：

{
          "Sid": "EnforceSecureTransport",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "Bool": {
                  "aws:SecureTransport": "false"
              }
          }
}

S3 ストレージバケットでこのポリシーを作成するための実行パラメータ 変更タイプについては、「」を参照してください。 CLI を使用した S3 バケットの作成

IP 範囲へのアクセスを制限する

結果のポリシー例では、一連の IP 範囲からバケットへのアクセスを制限しています。

{
          "Sid": "RestrictBasedOnIPRanges",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "s3:*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "NotIpAddress": {
                  "aws:SourceIp": [
                      “1.2.3.0/24",
                      “2.3.4.0/24"
                  ]
              }
          }
      }

S3 ストレージバケットでこのポリシーを作成するための実行パラメータ 変更タイプについては、「」を参照してください。 CLI を使用した S3 バケットの作成

実行入力パラメータ

実行入力パラメータの詳細については、「」を参照してください変更タイプ ct-1a68ck03fn98r のスキーマ。

例: 必須パラメータ

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket"
  }
}

例: すべてのパラメータ

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket",
    "ServerSideEncryption": "KmsManagedKeys",
    "KMSKeyId": "arn:aws:kms:ap-southeast-2:123456789012:key/9d5948f1-2082-4c07-a183-eb829b8d81c4",
    "Versioning": "Enabled",
    "IAMPrincipalsRequiringReadObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "IAMPrincipalsRequiringWriteObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "ServicesRequiringReadObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "ServicesRequiringWriteObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "EnforceSecureTransport": true,
    "AccessAllowedIpRanges": [
      "1.0.0.0/24",
      "2.0.0.0/24"
    ],
    "Tags": [
      "{\"Key\": \"foo\", \"Value\": \"bar\"}",
      "{ \"Key\": \"testkey\",\"Value\": \"testvalue\" }"
    ]
  }
}