ボールトアクセスポリシー

Amazon S3 Glacier ボールトアクセスポリシーは、ボールトに対する権限を管理するのに使用できるリソースベースのポリシーです。

各ボールトに対して 1 つのボールトアクセスポリシーを作成してアクセス権限を管理できます。ボールトアクセスポリシーのアクセス許可は、いつでも変更できます。S3 Glacier では、各ボールトでのボールトロックポリシーもサポートしています。ボールトロックポリシーは、ロック後に変更できません。ボールトロックポリシーの操作の詳細については、「ボールトロックポリシー」を参照してください。

例 1: 特定の Amazon S3 Glacier アクションのクロスアカウント権限の付与

次のポリシー例では、examplevault というボールトの一連の S3 Glacier オペレーションに対する 2つの AWS アカウント に、クロスアカウント権限を付与します。

注記

ボールトを所有するアカウントには、ボールトに関連するすべての料金が課金されます。許可された外部アカウントによって行われたすべてのリクエスト、データ転送、および取得のコストは、ボールトを所有するアカウントに課金されます。

               {
                  "Version":"2012-10-17",
                  "Statement":[
                     {
                        "Sid":"cross-account-upload",
                        "Principal": {
                           "AWS": [
                              "arn:aws:iam::123456789012:root",
                              "arn:aws:iam::444455556666:root"
                           ]
                        },
                        "Effect":"Allow",
                        "Action": [
                           "glacier:UploadArchive",
                           "glacier:InitiateMultipartUpload",
                           "glacier:AbortMultipartUpload",
                           "glacier:CompleteMultipartUpload"
                        ],
                        "Resource": [
                           "arn:aws:glacier:us-west-2:999999999999:vaults/examplevault"                                           
                        ]
                     }
                  ]
               }
            

例 2: MFA 削除オペレーションのクロスアカウント権限の付与

Multi-Factor Authentication (MFA) を使用して、S3 Glacier リソースを保護できます。セキュリティのレベルをさらに強化するために、MFA は、ユーザーに有効な MFA コードを入力させて MFA デバイスの物理的所有を証明することを要求します。MFA アクセスの設定の詳細については、「」を参照してください。MFA 保護 API アクセスの設定のIAM ユーザーガイド。

サンプルポリシーは、リクエストが MFA デバイスで認証されている限り、examplevault という名前のボールトからアーカイブを削除する AWS アカウント アクセス許可を一時的な認証情報で に付与します。ポリシーは aws:MultiFactorAuthPresent 条件キーを使用して、この追加要件を指定します。詳細については、IAM ユーザーガイドの一部のサービスに使用可能なキーを参照してください。

                  {
                     "Version": "2012-10-17",
                     "Statement": [
                        {
                           "Sid": "add-mfa-delete-requirement",
                           "Principal": {
                              "AWS": [
                                 "arn:aws:iam::123456789012:root"
                              ]
                           },
                           "Effect": "Allow",
                           "Action": [ 
                              "glacier:Delete*" 
                           ],
                           "Resource": [
                              "arn:aws:glacier:us-west-2:999999999999:vaults/examplevault"
                           ],
                           "Condition": {
                              "Bool": {
                                 "aws:MultiFactorAuthPresent": true
                              }
                           }
                        }
                     ]
                  }