アクセスポイントとオブジェクト所有権

従来のACL（アクセスコントロールリスト）はオブジェクト単位のアクセス許可を付与できますが、IAMやバケットポリシーよりも前から存在する仕組みであり、大規模環境では監査が困難です。

最大の危険はアカウント間アップロードです。別のアカウントが書き込んだオブジェクトをそのアカウントが所有すると、バケット所有者がそのオブジェクトを制御できなくなる可能性があります。

S3 Object Ownershipは、アップロードされたオブジェクトの所有者を明確にします。推奨設定のBucket owner enforcedではACLが完全に無効になり、バケット所有者がすべてのオブジェクトを自動的に所有します。

ACLを無効にすると、すべてのアクセスをIAMとバケットポリシーで一貫して管理できるため、把握や監査がはるかに容易になります。

Object OwnershipをBucket owner enforcedに設定すると、ACLは適用されなくなり、アクセスを付与することも一切できなくなります。

これは現在、新しいバケットのデフォルト設定であり、AWSが推奨するベストプラクティスです。1つの設定で、アカウント間の所有権に関する混乱やミスを招きやすい問題を完全に排除できます。

アカウントAがバケットを所有し、アカウントBがそこへログをアップロードするとします。従来のACLの動作では、オブジェクトをBが所有するため、Aは自分のバケットのコンテンツを読み取ったり削除したりできません。

Bucket owner enforcedを使うと、この問題が解決します。誰がアップロードしたかに関係なく、Aがすべてのオブジェクトを自動的に所有し、バケット所有者が完全な制御を取り戻せます。

S3 Access Pointsは、バケットに関連付けられた名前付きネットワークエンドポイントで、それぞれが独自のアクセスポリシーを持ちます。

すべてのアプリケーションで使う巨大で複雑なバケットポリシーを1つ作る代わりに、用途ごとに専用のアクセスポイントを作成し、それぞれに単純で対象を限定したポリシーを設定します。これにより、アクセスの管理と監査がはるかに容易になります。

1つの共有バケットポリシーは、利用するチームが増えるにつれて複雑で危険になります。アクセスポイントを使うと、それを小さなポリシーに分割できます。

各アクセスポイントをVPCに制限し、独自の名前と権限を設定して、個別に無効化できます。そのため、1つのチームの要件を満たすために、全員のアクセスを緩める必要はありません。

アクセスポイントは、特定のVPC（Virtual Private Cloud）からのリクエストだけを受け付けるように設定できます。これにより、そのアクセスポイント経由でアクセスするオブジェクトは、パブリックインターネットから完全に到達不能になります。

機密データへのアクセスを、プライベートなネットワーク経路を通る内部ワークロードだけに限定するための、明確な方法です。

Multi-Region Access Pointsを使うと、複数のリージョンにあるバケットへルーティングする単一のグローバルエンドポイントを利用できます。

セキュリティの観点では、グローバルに分散したデータのポリシー管理を簡素化し、自動フェイルオーバーも提供します。そのため、リージョンごとのバケット名をハードコードしなくてもアプリケーションを継続して動作させられます。

アカウント間で共有する場合は、ACLではなく、バケットポリシー、アクセスポイント、Object Ownershipを組み合わせてください。

Bucket owner enforcedを設定し、対象を限定したバケットポリシーまたはアクセスポイントポリシーで別のアカウントにアクセスを許可します。これにより、ACLが引き起こす所有権の混乱なしに、監査可能で取り消し可能なアカウント間アクセスを実現できます。

各アクセスポイントには独自のアクセスポイントポリシーがあり、バケットポリシーと合わせて評価されます。バケットポリシーからアクセスポイントに委任し、アクセスポイント経由のアクセスだけを許可することもできます。

これにより、単純で制限の厳しいバケットポリシーを1つ維持しながら、アプリケーションごとの権限を、確認や取り消しが容易な小さく独立したアクセスポイントポリシーで表現できます。

現在のS3アクセス管理の方針は明確です。Bucket owner enforcedでACLを無効にし、IAMとバケットポリシーでアクセスを管理し、アクセスポイントを使ってアプリケーションごとのポリシーを小さく、対象を限定したものにします。

この組み合わせは、従来のACL中心の方式よりも安全で、監査も大幅に容易です。

最もすっきりした解決策を選んでください。

従来のACLは、アカウント間の所有権に関する問題を引き起こし、監査も困難です。S3のObject OwnershipをBucket owner enforcedに設定してACLを無効にし、すべてのオブジェクトを適切に所有できるようにしたうえで、IAMとバケットポリシーによってアクセスを管理してください。S3 Access Pointsを使えば、アプリケーションごとに小さく対象を限定したポリシーを設定でき、必要に応じてVPCに制限できます。グローバルなデータにはMulti-Region Access Pointsを使用します。これらを組み合わせることで、ACLを監査可能な最小権限のアクセスモデルに置き換えられます。