s3-bucket-policy-grantee-check

Amazon S3 バケットによって付与されるアクセスが、指定したプリンシ AWS パル、フェデレーティッドユーザー、サービスプリンシパル、IP アドレス、または によって制限VPCsされていることを確認します。バケットポリシーが存在しないCOMPLIANT場合、ルールは です。

例えば、ルールへの入力パラメータが 2 つのプリンシパルのリストであり、バケットポリシー111122223333444455556666で がバケットにのみ111122223333アクセスできることを指定する場合、ルールは ですCOMPLIANT。同じ入力パラメータのときに、バケットポリシーで 111122223333 および 444455556666 がバケットにアクセスできると指定している場合も準拠しています。ただし、バケットポリシーで 999900009999がバケットにアクセスできることを指定している場合、ルールは NON- ですCOMPLIANT。

注記

バケットポリシーに複数のステートメントが含まれている場合、バケットポリシーの各ステートメントはこのルールに対して評価されます。

識別子： S3_BUCKET_POLICYGRANTEE_CHECK

リソースタイプ： AWS::S3::Bucket

トリガータイプ: 設定変更

AWS リージョン： サポートされているすべての AWS リージョン

[パラメータ:]

awsPrincipals （オプション）

タイプ: CSV

IAM ユーザー ARNs、IAMロール、ARNs AWS アカウントなどのプリンシパルのカンマ区切りリスト。例: 'arn:aws:iam::111122223333:user/Alice, arn:aws:iam::444455556666:role/Bob, 123456789012'。

servicePrincipals （オプション）

タイプ: CSV

サービスプリンシパルのカンマ区切りリスト。例: 「cloudtrail.amazonaws.com, lambda.amazonaws.com」

federatedUsers （オプション）

タイプ: CSV

Amazon Cognito や ID プロバイダーなど、ウェブ ID フェデレーション用の SAML ID プロバイダーのカンマ区切りリスト。例: 「cognito-identity.amazonaws.com, arn:aws:iam::111122223333:saml-provider/my-provider」

ipAddresses （オプション）

タイプ: CSV

CIDR フォーマットされた IP アドレスのカンマ区切りリスト。例: '10.0.0.1, 192.168.1.0/24, 2001:db8::/32'。

vpcIds （オプション）

タイプ: CSV

Amazon Virtual Private Clouds (Amazon VPC) のカンマ区切りリストIDs。例: 'vpc-1234abc0, vpc-ab1234c0'。

AWS CloudFormation テンプレート

AWS CloudFormation テンプレートを使用して AWS Config マネージドルールを作成するには、「」を参照してくださいAWS CloudFormation テンプレートを使用した AWS Config マネージドルールの作成。