Amazon S3 Glacier でのアイデンティティベースのポリシー (IAM ポリシー) の使用 - Amazon S3 Glacier

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon S3 Glacier でのアイデンティティベースのポリシー (IAM ポリシー) の使用

このトピックでは、アカウント管理者が IAM ID (ユーザー、グループ、ロール) へのアクセス許可ポリシーをアタッチする、ID ベースのポリシーの例を示します。

重要

初めに、Amazon S3 Glacier (S3 Glacier) のリソースへのアクセスを管理するための基本概念と使用できるオプションについて説明する概要トピックをお読みになることをお勧めします。詳細については、「Amazon S3 Glacier リソースへのアクセス 許可 管理の概要」を参照してください。

このセクションでは、次のトピックを対象としています。

以下に示しているのは、アクセス許可ポリシーの例です。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glacier:CreateVault", "glacier:DescribeVault", "glacier:ListVaults" ], "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*" } ] }

このポリシーは、us-west-2AWS リージョンのすべてのボールトを識別する Amazon リソースネーム (ARN) を使用して、リソースの 3 つの S3 Glacier ボールトに関連するアクション (glacier:CreateVaultglacier:DescribeVault、および glacier:ListVaults) のアクセス許可を付与します。

ARN の末尾のワイルドカード文字 (*) は、このステートメントはどのボールト名とも一致する可能性があることを意味します。ステートメントは、指定したAWS リージョン us-west-2 でのボールトの glacier:DescribeVault アクションを許可します。特定のボールトでのみこのアクションの権限を制限する場合には、ボールト名をワイルドカード文字 (*) に置き換えます。

Amazon S3 Glacier コンソールを使用するために必要なアクセス許可

S3 Glacier コンソールは、S3 Glacier ボールトの作成および管理のための統合された環境を提供します。次の例に示すように、作成した最小限の IAM ユーザーには、S3 Glacier コンソールを表示するための glacier:ListVaults アクションのアクセス権限を付与する必要があります。

{ "Version": "2012-10-17", "Statement": [ { "Action": [ "glacier:ListVaults" ], "Effect": "Allow", "Resource": "*" } ] }

次のセクションで説明する AWS S3 Glacier 管理ポリシーは、どちらも glacier:ListVaults のアクセス許可を付与します。

AWSAmazon S3 Glacier の管理ポリシー (定義済みポリシー)

AWS は、AWSによって作成され管理されるスタンドアロンの IAM ポリシーを提供することで、多くの一般的ユースケースに対応します。マネージドポリシーは、一般的ユースケースに必要な許可を付与することで、どの許可が必要なのかをユーザーが調査する必要をなくすることができます。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

アカウントのユーザーにアタッチできる次の AWS 管理 ポリシーは、S3 Glacier に固有のものです。

  • AmazonGlacierReadOnlyAccess経由で S3 Glacier への読み取り専用アクセス許可を付与しますAWS Management Console。

  • AmazonGlacierFullAccess経由で S3 Glacier へのフルアクセス許可を付与しますAWS Management Console。

注記

IAM コンソールにサインインし、特定のポリシーを検索することで、これらの許可ポリシーを確認できます。

独自のカスタム IAM ポリシーを作成して、S3 Glacier API アクションとリソースのためのアクセス権限を許可することもできます。これらのカスタムポリシーは、それらのアクセス許可を必要としている IAM ユーザーやグループ、または S3 Glacier ボールト用に作成したカスタム実行ロール (IAM ロール) にアタッチできます。

お客様が管理するポリシーの例

このセクションでは、さまざまな S3 Glacier アクションのアクセス権限を付与するユーザー ポリシー例を示しています。S3 Glacier REST API、Amazon SDK、AWS CLIまたは、必要に応じて S3 Glacier 管理コンソールを使用する場合に、これらのポリシーが機能します。

注記

例はすべて、米国西部 (オレゴン) リージョン (us-west-2) を使用し、架空のアカウント ID を使用しています。

例 1: ボールトからのアーカイブのダウンロードをユーザーに許可する

アーカイブをダウンロードするには、まずアーカイブを取得するジョブを開始します。取得ジョブが完了したら、データをダウンロードできます。次のポリシー例では、ジョブを開始する glacier:InitiateJob アクションと、取得したデータをダウンロードするアクションのアクセス権限 (ユーザーにボールトからのアーカイブまたはボールトインベントリの取得を許可する) を付与して、glacier:GetJobOutput アクションに対するアクセス権限を付与して、取得したデータをダウンロードします。このポリシーは、ユーザーがジョブのステータスを確認できるように、glacier:DescribeJob アクションを実行できる権限も付与します。詳細については、「ジョブの開始 (ジョブの POST)」を参照してください。

ポリシーは、examplevault という名前のボールトにこれらのアクセス権限を付与します。Amazon S3 Glacier コンソールから、またはプログラムで ボールトの説明 (GET vault)、または ボールトのリスト (GET vaults) API アクションを呼び出すことで、ボールトの ARN を取得できます。

{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault", "Action":["glacier:InitiateJob", "glacier:GetJobOutput", "glacier:DescribeJob"] } ] }

例 2: ボールトの作成と通知設定をユーザーに許可する

次のポリシー例では、Resource 要素で指定されているように、us-west-2 リージョンにボールトを作成するアクセス許可を付与し、通知設定を行います。通知の操作方法の詳細については、「Amazon S3 Glacier でのボールト通知の設定」を参照してください。このポリシーでは、AWS リージョンのボールトを一覧表示し、特定のボールトの説明を取得する権限を付与しています。

重要

glacier:CreateVault オペレーションを使用してボールトを作成する権限を付与するときは、ボールトを作成するまでボールト名がわからないため、Resource 値でワイルドカード文字 (*) を指定する必要があります。

{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*", "Action":["glacier:CreateVault", "glacier:SetVaultNotifications", "glacier:GetVaultNotifications", "glacier:DeleteVaultNotifications", "glacier:DescribeVault", "glacier:ListVaults"] } ] }

例 3: ユーザーに特定のボールトへのアーカイブのアップロードを許可する

次のポリシー例では、us-west-2 リージョンの特定のボールトにアーカイブをアップロードする権限を付与します。これらの権限は、ユーザーが アーカイブのアップロード (POST archive) API オペレーションを使用し、または部分的に マルチパートアップロードの開始 (POST multipart-uploads) API オペレーションを使用して、すべてのアーカイブをアップロードすることを許可します。

{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault", "Action":["glacier:UploadArchive", "glacier:InitiateMultipartUpload", "glacier:UploadMultipartPart", "glacier:ListParts", "glacier:ListMultipartUploads", "glacier:CompleteMultipartUpload"] } ] }

例 4: ユーザーに特定のボールトのフルアクセス権限を許可する

次のポリシー例では、 という名前のボールトで、すべての S3 Glacier アクションのアクセス許可を付与しますexamplevault

{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault", "Action":["glacier:*"] } ] }