AWS ドキュメント » AWS Identity and Access Management » ユーザーガイド » AWS Identity and Access Management のリファレンス情報 » IAM JSON ポリシーリファレンス » IAM JSON ポリシーエレメントのリファレンス » IAM JSON ポリシーの要素:NotResource

IAM JSON ポリシーの要素:NotResource

NotResource は、指定されたリソースリスト以外のすべてを明示的に照合する高度なポリシーエレメントです。NotResource を使うと、一致する予定のリソースのリストを含めるのではなく、一致する必要がないアクションがいくつかリストアップされ、リソースが短くなります。NotResource を使用する場合は、この要素に指定されているリソースは制限されているリソースのみであることに注意してください。これは、リストされていない他のすべてのサービスのリソースを含むすべてのリソースが、Allow 効果を使用する場合は許可され、Deny 効果を使用する場合は拒否されることを意味します。ステートメントには、ARN を使用してリソースを指定する ResourceまたはNotResource エレメントを含める必要があります。(ARN の形式の詳細については、「Amazon リソースネーム (ARN) と AWS サービスの名前空間」を参照)

NotResource 要素と "Effect": "Allow" をポリシー内の同じステートメントで使用したり、別のステートメントで使用したりすることに注意してください。NotResource は、明示的に列挙されないすべてのサービスおよびリソースを許可するため、意図した以上のアクセス許可をユーザーに付与する結果になる場合があります。同じステートメントで NotResource エレメントと "Effect": "Deny" を使用すると、明示的にリストされていないサービスとリソースが拒否されます。

たとえば、HRPayrollという名前のグループがあるとしましょう。HRPayrollのメンバーは、HRBucket バケット内の Payroll フォルダ以外のすべての Amazon S3 リソースにアクセスできません。次のポリシーは、リストされたリソース以外のすべての Amazon S3 リソースへのアクセスを明示的に拒否します。ただし、このポリシーは、すべてのリソースにユーザーのアクセス権を与えるものではないことに注意してください。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "s3:*",
    "NotResource": [
      "arn:aws:s3:::HRBucket/Payroll",
      "arn:aws:s3:::HRBucket/Payroll/*"
    ]
  }
}

通常、リソースへのアクセスを明示的に拒否するには、"Effect":"Deny" を使用し、各フォルダを個別にリストするResource エレメントを含むポリシーを作成します。ただし、その場合には、HRBucket にフォルダを追加したり、アクセスすべきでない Amazon S3 にリソースを追加するたびに、Resource のリストにその名前を追加する必要があります。代わりに NotResource エレメントを使用すると、ユーザーはフォルダ名を NotResource エレメントに追加しない限り、新しいフォルダへのアクセスは自動的に拒否されます。