Amazon S3 Express のアクション、リソース、および条件キー
Amazon S3 Express (サービスプレフィックス: s3express) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
Amazon S3 Express で定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
新しいアクセスポイントを作成するアクセス許可を付与します |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
書き込み |
||
新しいバケットを作成するアクセス許可を付与 |
書き込み |
|||
PutObject、GetObject などのオブジェクト API に使用されるセッショントークンを作成するアクセス許可を付与 |
s3express:AccessPointTag/${TagKey} s3express:AllAccessRestrictedToLocalZoneGroup s3express:x-amz-content-sha256 |
書き込み |
||
|
s3express:AllAccessRestrictedToLocalZoneGroup s3express:x-amz-content-sha256 |
||||
URI で指定されたアクセスポイントを削除するアクセス許可を付与します |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
書き込み |
||
指定したアクセスポイントでポリシーを削除するアクセス許可を付与します |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
アクセス許可管理、書き込み |
||
指定したアクセスポイントの範囲の設定を削除するアクセス許可を付与 |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
アクセス許可管理、書き込み |
||
URI で指定されたバケットを削除するアクセス許可を付与 |
書き込み |
|||
指定したバケットのポリシーを削除するアクセス許可を付与 |
アクセス許可管理、書き込み |
|||
指定したアクセスポイントに関する設定情報を返すアクセス許可を付与します |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
読み取り |
||
指定したアクセスポイントに関連付けられたアクセスポイントポリシーを返すアクセス許可を付与します |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
読み取り |
||
指定したアクセスポイントに関連付けられた範囲の設定を返すアクセス許可を付与 |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
読み取り |
||
指定したバケットのポリシーを返すアクセス許可を付与 |
読み取り |
|||
ディレクトリバケットにデフォルトの暗号化設定を返す許可を付与する |
読み取り |
|||
S3 ディレクトリバケットのインベントリ設定 ID によって識別されるインベントリ設定を返すアクセス許可を付与します |
読み取り |
|||
ディレクトリバケットに設定されたライフサイクル設定情報を返すアクセス許可を付与 |
読み取り |
|||
ディレクトリバケットのメトリクス設定を取得する許可を付与 |
読み取り |
|||
アクセスポイントを一覧表示するアクセス許可を付与します |
リスト |
|||
リクエストの認証された送信者が所有するすべてのディレクトリバケットを一覧表示するためのアクセス許可を付与 |
リスト |
|||
指定したリソースのすべてのタグを一覧表示するアクセス許可を付与 |
リスト |
|||
bucket (バケット) |
||||
アクセスポリシーを指定されたアクセスポイントに関連付けるアクセス許可を付与します |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
アクセス許可管理、書き込み |
||
アクセスポイントを指定されたアクセスポイントの範囲の設定に関連付けるアクセス許可を付与 |
s3express:AccessPointNetworkOrigin s3express:AccessPointTag/${TagKey} |
アクセス許可管理、書き込み |
||
バケットのバケットポリシーを追加または置き換えるアクセス許可を付与 |
アクセス許可管理、書き込み |
|||
ディレクトリバケットの暗号化設定を設定するアクセス許可を付与します |
書き込み |
|||
インベントリ設定をバケットに追加するアクセス許可を付与します。このアクセス許可は、インベントリ ID で識別されます |
書き込み |
|||
ディレクトリバケットの新しいライフサイクル設定を作成するか、既存のライフサイクル設定を置き換えるアクセス許可を付与 |
書き込み |
|||
ディレクトリバケットの CloudWatch リクエストメトリクスのメトリクス設定を設定または更新するアクセス許可を付与します |
書き込み |
|||
新しいユーザー定義タグを作成したり、既存のタグを更新したりするアクセス許可を付与 |
タグ付け、書き込み |
|||
bucket (バケット) |
||||
指定されたユーザー定義タグを S3 リソースから削除するアクセス許可を付与 |
タグ付け、書き込み |
|||
bucket (バケット) |
Amazon S3 Express で定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:s3express:${Region}:${Account}:accesspoint/${AccessPointName} |
||
arn:${Partition}:s3express:${Region}:${Account}:bucket/${BucketName} |
Amazon S3 Express の条件キー
Amazon S3 Express は、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
リクエストで渡されたタグでアクセスをフィルタリングします |
String |
|
リソースに関連付けられたタグでアクセスをフィルタリングします |
String |
|
リクエストで渡されたタグキーでアクセスをフィルタリングします |
ArrayOfString |
|
ネットワークオリジン (インターネットまたは VPC) によるアクセスをフィルタリングします |
String |
|
アクセスポイントにアタッチされているタグキーおよび値のペアでアクセスをフィルタリングします |
String |
|
この条件キーで指定された AWS ローカルゾーンネットワーク境界グループ (複数可) でアクセスをフィルタリングします |
String |
|
バケットにアタッチされているタグキーおよび値のペアでアクセスをフィルタリングします |
String |
|
アクセスポイントを所有する AWS アカウント ID でアクセスをフィルタリングします |
String |
|
アクセスポイント Amazon リソースネーム (ARN) でアクセスをフィルタリングします |
ARN |
|
S3 インベントリレポートを設定するときにユーザーが追加できるオプションのメタデータフィールドを制限することで、アクセスをフィルタリングする |
ArrayOfString |
|
特定のアベイラビリティーゾーンまたはローカルゾーン ID でアクセスをフィルタリングします |
String |
|
GetObject、PutObject などのアクセスポイントスコープ設定によってリクエストされたアクセス許可でアクセスをフィルタリングします |
ArrayOfString |
|
リソース所有者 AWS アカウント ID でアクセスをフィルタリングします |
String |
|
CreateSession API でリクエストされたアクセス許可 (ReadOnly、ReadWrite など) でアクセスをフィルタリングします |
String |
|
クライアントが使用する TLS バージョンでアクセスをフィルタリングします |
数値 |
|
認証方式でアクセスをフィルタリングします |
String |
|
リクエスト署名の経過時間 (ミリ秒単位) でアクセスをフィルタリングします |
数値 |
|
リクエストで使用される AWS 署名バージョンでアクセスをフィルタリングします |
String |
|
バケット内の署名されていないコンテンツによりアクセスをフィルタリングします |
String |
|
サーバー側の暗号化でアクセスをフィルタリングします |
String |
|
サーバー側の暗号化のために KMS AWS カスタマーマネージドキーでアクセスをフィルタリングします |
ARN |
