Amazon S3 Express One Zone は、オブジェクトストレージをコンピュートリソースと同じ場所に配置するオプションを備えた単一のアベイラビリティーゾーンを選択できる最初の S3 ストレージクラスです。これにより、最高レベルのアクセス速度を実現できます。S3 Express One Zone のデータは、アベイラビリティーゾーン内のディレクトリバケットに保存されます。ディレクトリバケットの詳細については「ディレクトリバケット」を参照してください。
S3 Express One Zone は、リクエストのレイテンシーを最小限に抑えることが不可欠なあらゆるアプリケーションに最適です。このようなアプリケーションは、クリエイティブプロフェッショナルがユーザーインターフェイスからコンテンツに迅速にアクセスする必要がある、動画編集のような人間との対話型のワークフローになる可能性があります。S3 Express One Zone は、データに対する応答性の要件が似ている分析や機械学習のワークロード、特に小規模なアクセスやランダムアクセスが多いワークロードにも役立ちます。分析や人工知能と機械学習 (AI/ML) のワークロードをサポートするために、Amazon EMR、Amazon Athena、AWS Glue データカタログ、Amazon SageMaker モデルトレーニングなどの AWSと併用できます。S3 Express One Zone ストレージクラスとディレクトリバケットは、Amazon S3 コンソール、AWS SDK、AWS コマンドラインインターフェイス (AWS CLI)、Amazon S3 REST API を使って操作できます。詳細については、「S3 Express One Zone とは」および「S3 Express One Zone の違いとは」を参照してください。
目的
このチュートリアルでは、ゲートウェイエンドポイントを作成し、次に IAM ポリシーを作成してアタッチします。その後、ディレクトリバケットを作成し、インポートアクションを使って現在汎用バケットに保存されているオブジェクトをディレクトリバケットに追加します。オブジェクトは手動でディレクトリバケットにアップロードすることもできます。
前提条件
このチュートリアルを開始する前に、適切な許可が付与された AWS Identity and Access Management (IAM) ユーザーとしてサインインできる AWS アカウントが必要です。
AWS アカウント の作成
このチュートリアルを完了するには、AWS アカウント が必要です。AWS にサインアップすると、Amazon S3 を含む AWS のすべてのサービスに対して AWS アカウント が自動的にサインアップされます。料金は、使用するサービスの料金のみが請求されます。料金の詳細については、S3 の料金を参照してください。
AWS アカウントに IAM ユーザーを作成する (コンソール)
AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に管理するうえで役立つ AWS のサービス です。IAM 管理者は、どのユーザーを認証して (サインイン)、S3 Express One Zone 内のオブジェクトへのアクセスやディレクトリバケットの使用を許可するかを制御します。IAMは追加料金なしでご利用いただけます。
デフォルトでは、ユーザーにはディレクトリバケットにアクセスして S3 Express One Zone オペレーションを実行するアクセス許可はありません。ディレクトリバケットと S3 Express One Zone オペレーションに対するアクセス許可を付与するには、IAM を使用してユーザーまたはロールを作成し、それらのアイデンティティにアクセス許可をアタッチします。IAM ユーザーを作成する方法の詳細については、「IAM ユーザーガイド」の「IAM ユーザーの作成 (コンソール)」を参照してください。IAM ロールを作成する方法の詳細については、「IAM ユーザーガイド」の「IAM ユーザーにアクセス許可を委任するロールの作成」を参照してください。
このチュートリアルでは、わかりやすいように IAM ユーザーを作成して使用します。このチュートリアルを完了したら、忘れずに「IAM ユーザーを削除する」を行います。本番環境で使用する場合は、IAM ユーザーガイドの「IAM でのセキュリティのベストプラクティス」に従うことをお勧めします。ベストプラクティスでは、人間のユーザーと ID プロバイダーとのフェデレーションにより、一時的な認証情報を使用して AWS にアクセスする必要があります。追加のベストプラクティスとして、ワークロードでは一時的な認証情報で IAM ロールを使用し、AWS にアクセス必要があります。AWS IAM Identity Center を使用して一時的な認証情報を持つユーザーを作成する方法については、「AWS IAM Identity Center ユーザーガイド」で開始方法を参照してください。
警告
IAM ユーザーは長期認証情報を保有するため、セキュリティ上のリスクが生じます。このリスクを軽減するために、これらのユーザーにはタスクの実行に必要な権限のみを付与し、不要になったユーザーを削除することをお勧めします。
IAM ポリシーを作成し、IAM ユーザーまたはロールにアタッチする (コンソール)
デフォルトでは、ユーザーにはディレクトリバケットと S3 Express One Zone オペレーションのためのアクセス許可はありません。ディレクトリバケットへのアクセス権限を付与するには、IAM を使用してユーザー、グループ、またはロールを作成し、それらのアイデンティティにアクセス許可をアタッチします。S3 Express One Zone アクセスのバケットポリシーまたは IAM アイデンティティポリシーに含めることができるリソースは、ディレクトリバケットのみです。
S3 Express One Zone でリージョンエンドポイント API オペレーション (バケットレベルオペレーションまたはコントロールプレーンオペレーション) を使用するには、セッション管理を必要としない IAM 認可モデルを使用します。アクセス許可はアクションごとに個別に付与されます。ゾーンエンドポイント API オペレーション (オブジェクトレベルオペレーションまたはデータプレーンオペレーション) を使用するには、CreateSessionを使用して、データリクエストの低レイテンシー認可に最適化されたセッションを作成および管理します。ッショントークンを取得して使用するには、アイデンティティベースのポリシーまたはバケットポリシーでディレクトリバケットの s3express:CreateSession アクションを許可する必要があります。Amazon S3 コンソール、AWS コマンドラインインターフェイス (AWS CLI)、または AWS SDK を使用して S3 Express One Zone にアクセスしている場合、S3 Express One Zone がユーザーに代わってセッションを作成します。詳細については、「CreateSession 認可」および「S3 Express One Zone 向け AWS Identity and Access Management (IAM)」を参照してください。
IAM ポリシーを作成して IAM ユーザー (またはロール) にアタッチする
AWS マネジメントコンソールにサインインし、IAM マネジメントコンソールを開きます。
ナビゲーションペインで、ポリシー を選択してください。
[ポリシーの作成] を選択します。
[JSON] を選択します。
次のポリシーをポリシーエディタウィンドウにコピーします。ディレクトリバケットを作成したり、Amazon S3 Express One Zone を使用したりする前に、AWS Identity and Access Management (IAM) ロールまたはユーザーに必要なアクセス許可を付与する必要があります。このポリシー例では、
CreateSessionAPI オペレーション (他のゾーン API オペレーションまたはオブジェクトレベル API オペレーションで使用) とすべてのリージョンエンドポイント (バケットレベル) API オペレーションへのアクセスを許可します。このポリシーでは、すべてのディレクトリバケットでのCreateSessionAPI オペレーションの使用が許可されます。ただし、リージョンエンドポイント API オペレーションは、指定されたディレクトリバケットでの使用のみが許可されます。このポリシーの例を実行するには、user input placeholders{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAccessRegionalEndpointAPIs", "Effect": "Allow", "Action": [ "s3express:DeleteBucket", "s3express:DeleteBucketPolicy", "s3express:CreateBucket", "s3express:PutBucketPolicy", "s3express:GetBucketPolicy", "s3express:ListAllMyDirectoryBuckets" ], "Resource": "arn:aws:s3express:region:account_id:bucket/bucket-base-name--zone-id--x-s3/*" }, { "Sid": "AllowCreateSession", "Effect": "Allow", "Action": "s3express:CreateSession", "Resource": "*" } ] }[Next] を選択します。
ポリシーに名前を付けます。
注記
S3 Express One Zone ではバケットタグはサポートされていません。
-
[Create policy] (ポリシーを作成) を選択します。
-
IAM ポリシーを作成したら、IAM ユーザーにポリシーをアタッチできます。ナビゲーションペインで、ポリシー を選択してください。
検索バーに、ポリシー名を入力します。
[アクション] メニューの [アタッチ] を選択します。
[Filter by Entity Type] (エンティティタイプでフィルタリング) で、[IAM ユーザー] または [ロール] を選択します。
検索フィールドに、使用するユーザーまたはロールの名前を入力します。
［ポリシーをアタッチ] を選択します。
トピック
次のステップ
このチュートリアルでは、ディレクトリバケットを作成して、S3 Express One Zone ストレージクラスを使用する方法を学習しました。このチュートリアルを完了すると、S3 Express One Zone ストレージクラスで使用できる関連 AWS サービスについて確認できます。
S3 Express One Zone AWS のサービス ストレージクラスで次を使用して、特定の低レイテンシーのユースケースをサポートできます。
-
Amazon Elastic Compute Cloud (Amazon EC2) – Amazon EC2 は、安全でスケーラブルなコンピューティング容量を AWS クラウド で提供します。Amazon EC2 の使用により、ハードウェアに事前投資する必要がなくなり、アプリケーションをより速く開発およびデプロイできます。アマゾン EC2 を使用すると、必要な数 (またはそれ以下) の仮想サーバーの起動、セキュリティおよびネットワーキングの構成、ストレージの管理ができます。
-
AWS Lambda – Lambda はサーバーのプロビジョニングや管理を必要とせずにコードを実行できるコンピューティングサービスです。バケットの通知設定を構成し、関数のリソースベースのアクセス許可ポリシーで関数を呼び出すためのアクセス許可を Amazon S3 に付与します。
-
Amazon Elastic Kubernetes Service (Amazon EKS) は、AWS 上で、独自の Kubernetes コントロールプレーンをインストール、運用、保守する必要がないマネージド型サービスです。Kubernetes
は、コンテナ化されたアプリケーションの管理、スケーリング、デプロイを自動化するオープンソースシステムです。 -
Amazon Elastic Container Service (Amazon ECS) – Amazon ECS は、コンテナ化されたアプリケーションを簡単にデプロイ、管理、スケーリングできる、フルマネージドコンテナオーケストレーションサービスです。
-
Amazon EMR – Amazon EMR は、Apache Hadoop や Apache Spark などのビッグデータフレームワークを AWS で簡単に実行して、膨大な量のデータを処理および分析できるマネージドクラスタープラットフォームです。
-
Amazon Athena – Athena はインタラクティブなクエリサービスで、Amazon S3 内のデータを標準 SQL を使用して直接的に簡単に分析できます。また、Athena を使用すると、リソースの計画、設定、管理を必要とせずに Apache Spark を使用してデータ分析をインタラクティブに実行することもできます。Athena で Apache Spark アプリケーションを実行する場合は、処理用の Spark コードを送信して、結果を直接受け取ります。
-
AWS Glue データカタログ – AWS Glue は、分析を行うユーザーが複数のソースからのデータを簡単に検出、準備、移動、統合できるようにするサーバーレスのデータ統合サービスです。AWS Glue は分析、機械学習、アプリケーション開発に使用できます。AWSGlue データカタログ は、組織のデータセットに関するメタデータを保存する一元化されたリポジトリです。データソースの場所、スキーマ、およびランタイムメトリクスへのインデックスとして機能します。
-
Amazon SageMaker Runtime Model Training – Amazon SageMaker Runtime は、フルマネージド型の機械学習サービスです。SageMaker Runtime では、データサイエンティストやデベロッパーが迅速かつ簡単に機械学習モデルの構築とトレーニングを行うことができ、それらを稼働準備が整ったホストされている環境に直接デプロイできます。
S3 Express One Zone の詳細については、「S3 Express One Zone とは」および「S3 Express One Zone の違いとは」を参照してください。
