# S3 ディレクトリバケットでのタグの使用
AWS タグは、リソースに関するメタデータを保持するキーと値のペアで、この場合は、Amazon S3 ディレクトリバケットです。S3 ディレクトリバケットは、作成時にタグ付けしたり、既存のディレクトリバケットのタグを管理したりできます。タグに関する一般情報については、「[コスト配分または属性ベースのアクセス制御 (ABAC) のタグ付け](tagging.md)」を参照してください。
**注記**
ディレクトリバケットでタグを使用することによる追加料金は、標準の S3 API リクエスト料金を超えて発生しません。詳細については、「[Amazon S3 の料金](https://aws.amazon.com/s3/pricing/)」を参照してください。
## ディレクトリバケットでタグを使用する一般的な方法
S3 ディレクトリバケットのタグを以下に使用します。
1. **コスト配分** – AWS Billing and Cost Management でバケットタグ別にストレージコストを追跡します。詳細については、「[Using tags for cost allocation](https://docs.aws.amazon.com/AmazonS3/latest/userguide/tagging.html#using-tags-for-cost-allocation)」を参照してください。
1. **属性ベースのアクセス制御 (ABAC)** – アクセス許可をスケールし、タグに基づいて S3 ディレクトリバケットへのアクセスを許可します。詳細については、「[Using tags for ABAC](https://docs.aws.amazon.com/AmazonS3/latest/userguide/tagging.html#using-tags-for-abac)」を参照してください。
**注記**
コスト配分とアクセス制御の両方に同じタグを使用できます。
### S3 ディレクトリバケットの ABAC
Amazon S3 ディレクトリバケットは、タグを使用した属性ベースのアクセス制御 (ABAC) をサポートしています。AWS Organizations、IAM、S3 ディレクトリバケットポリシーでタグベースの条件キーを使用します。エンタープライズの場合、Amazon S3 の ABAC は複数の AWS アカウントにわたる認可をサポートしています。
IAM ポリシーでは、次の[グローバル条件キー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-tagkeys)を使用して、バケットのタグに基づいて S3 ディレクトリバケットへのアクセスを制御できます。
+ `aws:ResourceTag/key-name`
+ このキーを使用して、ポリシーで指定したタグキーバリューのペアと、リソースにアタッチされているキーバリューのペアを比較します。たとえば、リソースに値 `Dept` の付いたタグキー `Marketing` がアタッチされている場合にのみ、そのリソースへのアクセスを許可するように要求することができます。詳細については、「[AWS のリソースに対するアクセスの制御](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html#access_tags_control-resources)」を参照してください。
+ `aws:RequestTag/key-name`
+ このキーを使用して、リクエストで渡されたタグキーバリューのペアと、ポリシーで指定したタグペアを比較します。たとえば、リクエストに「`Dept`」タグキーが含まれ、「`Accounting`」という値が含まれているかどうかを確認できます。詳細については、「[AWS リクエスト時のアクセスの制御](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html#access_tags_control-requests)」を参照してください。この条件キーを使用して、`TagResource` および `CreateBucket` API オペレーション中に渡すことができるタグのキーと値のペアを制限できます。
+ `aws:TagKeys`
+ このキーを使用して、リクエスト内のタグキーとポリシーで指定したキーを比較します。ポリシーでタグを使用してアクセスを制御する場合は、`aws:TagKeys` 条件キーを使用して、許可されるタグキーを定義することをお勧めします。サンプルポリシーおよび詳細については、「[タグキーに基づいたアクセスの制御](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html#access_tags_control-tag-keys)」を参照してください。タグを使用して S3 ディレクトリバケットを作成できます。`CreateBucket` API オペレーション中にタグ付けを許可するには、`s3express:TagResource` と `s3express:CreateBucket` アクションの両方を含むポリシーを作成する必要があります。次に、`aws:TagKeys` 条件キーを使用して、`CreateBucket` リクエストで特定のタグキーを使用して適用できます。
+ `s3express:BucketTag/tag-key`
+ この条件キーを使用して、タグを使用してディレクトリバケット内の特定のデータに対するアクセス許可を付与します。アクセスポイントを使用してディレクトリバケットにアクセスする場合、この条件キーは、アクセスポイントとディレクトリバケットの両方に対して承認する際に、ディレクトリバケットのタグを参照します。一方、`aws:ResourceTag/tag-key` は、承認対象のリソースのタグのみを参照します。
### ディレクトリバケットの ABAC ポリシーの例
Amazon S3 ディレクトリバケットの次の ABAC ポリシーの例を参照してください。
#### 1.1 - 特定のタグを持つバケットを作成または変更するための IAM ポリシー
この IAM ポリシーでは、このポリシーを持つユーザーまたはロールは、バケットの作成リクエストでタグキー `project` とタグ値 `Trinity` を使用してバケットにタグを付ける場合にのみ、S3 ディレクトリバケットを作成できます。また、`TagResource` リクエストにタグのキーと値のペア `project:Trinity` が含まれている限り、既存の S3 ディレクトリバケットのタグを追加または変更できます。このポリシーは、バケットまたはそのオブジェクトに対する読み取り、書き込み、または削除のアクセス許可を付与しません。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CreateBucketWithTags",
"Effect": "Allow",
"Action": [
"s3express:CreateBucket",
"s3express:TagResource"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/project": [
"{{Trinity}}"
]
}
}
}
]
}
```
#### 1.2 - タグを使用してバケットのオペレーションを制限するためのバケットポリシー
このバケットポリシーでは、IAM プリンシパル (ユーザーとロール) は、バケットの `project` タグの値がプリンシパルの `project` タグの値と一致する場合にのみ、バケットの `CreateSession` アクションを使用してオペレーションを実行できます。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowObjectOperations",
"Effect": "Allow",
"Principal": {
"AWS": "{{111122223333}}"
},
"Action": "s3express:CreateSession",
"Resource": "arn:aws::s3express:{{us-west-2}}:{{111122223333}}:bucket/{{{{amzn-s3-demo-bucket--usw2-az1--x-s3}}}}",
"Condition": {
"StringEquals": {
"aws:ResourceTag/project": "${aws:PrincipalTag/project}"
}
}
}
]
}
```
#### 1.3 - タグ付け管理を維持する既存リソースのタグを変更するための IAM ポリシー
この IAM ポリシーでは、IAM プリンシパル (ユーザーまたはロール) は、バケットの `project` タグの値がプリンシパルの `project` タグの値と一致する場合にのみ、バケットのタグを変更できます。条件キー `aws:TagKeys` で指定された `project`、`environment`、`owner`、および `cost-center` の 4 つのタグのみが、これらのディレクトリバケットに対して許可されます。これにより、タグガバナンスの適用、不正なタグ変更の防止、およびバケット間でのタグ付けスキーマの一貫性の維持が可能になります。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "EnforceTaggingRulesOnModification",
"Effect": "Allow",
"Action": [
"s3express:TagResource"
],
"Resource": "arn:aws::s3express:{{us-west-2}}:{{111122223333}}:bucket/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/project": "${aws:PrincipalTag/project}"
},
"ForAllValues:StringEquals": {
"aws:TagKeys": [
"{{project}}",
"{{environment}}",
"{{owner}}",
"{{cost-center}}"
]
}
}
}
]
}
```
#### 1.4 - s3express:BucketTag 条件キーを使用する
この IAM ポリシーでは、条件ステートメントは、バケットにタグキー `Environment` とタグ値 `Production` がある場合にのみ、バケットのデータへのアクセスを許可します。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowAccessToSpecificAccessPoint",
"Effect": "Allow",
"Action": "*",
"Resource": "arn:aws::s3express:{{us-west-2}}:{{111122223333}}:accesspoint/*",
"Condition": {
"StringEquals": {
"s3express:BucketTag/Environment": "Production"
}
}
}
]
}
```
## ディレクトリバケットのタグの管理
Amazon S3コンソール、AWS コマンドラインインターフェイス (CLI)、AWS SDK、または S3 API、[TagResource](https://docs.aws.amazon.com/AmazonS3/latest/API/API_control_TagResource.html)、[UntagResource](https://docs.aws.amazon.com/AmazonS3/latest/API/API_control_UntagResource.html)、[ListTagsForResource](https://docs.aws.amazon.com/AmazonS3/latest/API/API_control_ListTagsForResource.html) を使用して、S3 ディレクトリバケットのタグを追加または管理できます。詳細については、以下を参照してください。
**Topics**
+ [ディレクトリバケットでタグを使用する一般的な方法](#common-ways-to-use-tags-directory-bucket)
+ [ディレクトリバケットのタグの管理](#working-with-tags)
+ [タグ付きディレクトリバケットを作成する](directory-bucket-create-tag.md)
+ [ディレクトリバケットにタグを追加する](directory-bucket-tag-add.md)
+ [ディレクトリバケットのタグを表示する](directory-bucket-tag-view.md)
+ [ディレクトリバケットからタグを削除する](directory-bucket-tag-delete.md)