S3 Access Grants が提供する認証情報を使用した S3 データへのアクセス

被付与者がアクセス許可を通じて一時的な認証情報を取得 すると、その一時的な認証情報を使用して Amazon S3 API オペレーションを呼び出し、データにアクセスできます。

被付与者は、AWS Command Line Interface (AWS CLI)、AWS SDK、Amazon S3 REST API を使用して、S3 データにアクセスできます。さらに、AWS Python および Java プラグインを使用して S3 Access Grants を呼び出すことができます。

AWS CLI の使用

被付与者は S3 Access Grants から一時的な認証情報を取得したら、その認証情報を使用してプロファイルを設定してデータを取得できます。

AWS CLI をインストールするには、「AWS Command Line Interface ユーザーガイド」の「AWS CLI をインストールする」を参照してください。

次のコマンド例を使用する際は、user input placeholders をユーザー自身の情報に置き換えます。

例 – プロファイルを設定する

aws configure set aws_access_key_id "$accessKey" --profile access-grants-consumer-access-profile
aws configure set aws_secret_access_key "$secretKey" --profile access-grants-consumer-access-profile
aws configure set aws_session_token "$sessionToken" --profile access-grants-consumer-access-profile

次のコマンド例を使用するには、user input placeholders をユーザー自身の情報に置き換えます。

例 – S3 データを取得する

被付与者は、get-object AWS CLI コマンドを使用して、データにアクセスできます。被付与者は、put-object、ls、その他の S3 AWS CLI コマンドも使用できます。

aws s3api get-object \
--bucket amzn-s3-demo-bucket1 \
--key myprefix \
--region us-east-2 \
--profile access-grants-consumer-access-profile

AWS SDK の使用

このセクションでは、AWS SDK を使用して S3 データにアクセスする方法の例を説明します。

Java

一時的な認証情報を使用して S3 データを取得する方法の例については、「AWSSDK を使用してオブジェクトを取得する方法」と「AWS SDK for Java 2.x の Amazon S3 コード例」を参照してください。

S3 Access Grants でサポートされている S3 アクション

被付与者は、S3 Access Grants によって提供される一時的な認証情報を使用して、アクセスできる S3 データに対して S3 アクションを実行できます。以下は、被付与者が実行できる S3 アクションのリストです。許可されるアクションは、アクセス許可で付与されるアクセス許可のレベル、READ、WRITE または READWRITE によって異なります。

注記

以下に示す Amazon S3 アクセス許可に加えて、Amazon S3 は AWS Key Management Service (AWS KMS) Decrypt (kms:decrypt) READ アクセス許可または AWS KMS GenerateDataKey (kms:generateDataKey) WRITE アクセス許可を呼び出すことができます。これらのアクセス許可では、AWS KMS キーへの直接アクセスは許可されません。

S3 IAM アクション	API アクションとドキュメント	S3 Access Grants アクセス許可	S3 リソース
s3:GetObject	GetObject	READ	オブジェクト
s3:GetObjectVersion	GetObject	READ	オブジェクト
s3:GetObjectAcl	GetObjectAcl	READ	オブジェクト
s3:GetObjectVersionAcl	GetObjectAcl	READ	オブジェクト
s3:ListMultipartUploads	ListParts	READ	オブジェクト
s3:PutObject	PutObject、CreateMultipartUpload、UploadPart、UploadPartCopy、CompleteMultipartUpload	WRITE	オブジェクト
s3:PutObjectAcl	PutObjectAcl	WRITE	オブジェクト
s3:PutObjectVersionAcl	PutObjectAcl	WRITE	オブジェクト
s3:DeleteObject	DeleteObject	WRITE	オブジェクト
s3:DeleteObjectVersion	DeleteObject	WRITE	オブジェクト
s3:AbortMultipartUpload	AbortMultipartUpload	WRITE	オブジェクト
s3:ListBucket	HeadBucket、ListObjectsV2、ListObjects	READ	バケット
s3:ListBucketVersions	ListObjectVersions	READ	バケット
s3:ListBucketMultipartUploads	ListMultipartUploads	READ	バケット