ACL を無効にする前提条件。

バケットの ACL アクセス権限を確認する方法

1. AWS Management Console にサインインし、Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

2. [バケット] リストで、バケット名を選択します。

3. [アクセス許可] タブを選択します。

4. アクセスコントロールリスト (ACL) で、バケット ACL アクセス権限を確認します。

オブジェクトの ACL アクセス権限を確認する方法

1. AWS Management Console にサインインし、Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

2. [Buckets] (バケット) リストで、オブジェクトが含まれるバケットの名前を選択します。

3. [オブジェクト] リストで、オブジェクト名を選択します。

4. [アクセス許可] タブを選択します。

5. アクセスコントロールリスト (ACL) で、オブジェクト ACL アクセス権限を確認します。

ACL アクセス権限を移行してバケット ACL を更新します

1. AWS Management Console にサインインし、Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

2. [バケット] リストで、バケット名を選択します。

3. アクセス許可タブの バケットポリシーで 編集をクリックします。

4. ポリシーボックスで、バケットポリシーを追加または更新します。

   バケットポリシーの例ついては、バケットポリシーの例」 と「チュートリアル例 を参照してください。

5. [Save changes] (変更の保存) をクリックします。

6. バケット ACL を更新して、他のグループ、または AWS アカウント への ACL アクセス権限を削除します。

7. オブジェクト所有権にバケット所有者の強制設定を適用します。

1. バケットのバケット ACL を返すには、get-bucket-acl AWS CLI コマンドを使用します。

   aws s3api get-bucket-acl --bucket amzn-s3-demo-bucket

   例えば、このバケット ACL は WRITE と READ にサードパーティーのアカウントへのアクセスを付与します。この ACL では、サードパーティーアカウントは正規ユーザー ID で識別します。[バケット所有者の強制] 設定を適用して ACL を無効にするには、サードパーティアカウントのこれらの許可をバケットポリシーに移行する必要があります。

   {
       "Owner": {
           "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
           "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
       },
       "Grants": [
           {
               "Grantee": {
                   "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                   "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "FULL_CONTROL"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "READ"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "WRITE"
           }
       ]
   }

   その他の ACL の例については、チュートリアル例 を参照してください。

2. バケット ACL アクセス権限をバケットポリシーに移行します。

   この例のバケットポリシーは、サードパーティアカウントの s3:PutObject と s3:ListBucket アクセス許可を付与します。バケットポリシーでは、サードパーティーアカウントは AWS アカウント ID (111122223333)で識別されます。

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PolicyForCrossAccountAllowUpload",
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::111122223333:root"
                   ]
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket",
               	"arn:aws:s3:::amzn-s3-demo-bucket/*"
           }
       ]
   }

   バケットポリシーの例については、バケットポリシーの例 と チュートリアル例 を参照してください。

3. 特定のオブジェクトの ACL を返すには、get-object-acl AWS CLI コマンドを使用します。

   aws s3api get-object-acl --bucket amzn-s3-demo-bucket --key EXAMPLE-OBJECT-KEY

4. 必要に応じて、オブジェクト ACL アクセス権限をバケットポリシーに移行します。

   このリソースエレメントの例では、バケットポリシーの特定のオブジェクトへのアクセスを付与します。

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-OBJECT-KEY"

5. バケットの ACL をデフォルトの ACL にリセットします。

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

6. オブジェクト所有者に[バケット所有者の強制] 設定を適用します。

S3 ログ配信グループのバケット ACL アクセス権限を、バケットポリシーのロギングサービスプリンシパルに移行します。

1. 次のバケットポリシーをバケットに追加して、例の値を置き換えます。

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:						{
       {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3ServerAccessLogsPolicy",
               "Effect": "Allow",
               "Principal": {
                   "Service": "logging.s3.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-LOGGING-PREFIX*",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:::SOURCE-BUCKET-NAME"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "SOURCE-AWS-ACCOUNT-ID"
                   }
               }
           }
       ]
   }							

2. バケットの ACL をデフォルトの ACL にリセットします。

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. オブジェクト所有権のバケット所有者の強制 を送信先バケットに適用します。

パブリック読み取り ACL アクセス権限をバケットポリシーに移行します。

1. バケット内のすべてのオブジェクトへのパブリック読み取りアクセスを許可するには、例の値を置き換えて、次のバケットポリシーを追加します。

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PublicReadGetObject",
               "Effect": "Allow",
               "Principal": "*",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

   バケットポリシー内の特定のオブジェクトへのパブリックアクセスを許可するには、Resource エレメントに次の形式を使用します。

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

   特定のプレフィックスを持つすべてのオブジェクトへのパブリックアクセスを許可するには、Resource エレメントに次の形式を使用します。

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/PREFIX/*"

2. オブジェクト所有者に[バケット所有者の強制] 設定を適用します。

ElastiCache (Redis OSS) のバケット ACL アクセス許可をバケットポリシーに移行するには

1. 次のバケットポリシーをバケットに追加し、例の値を置き換えます。

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt15399483",
               "Effect": "Allow",
               "Principal": {
                   "Service": "Region.elasticache-snapshot.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:GetBucketAcl",
                   "s3:ListMultipartUploadParts",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

2. バケットの ACL をデフォルトの ACL にリセットします。

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. オブジェクト所有者に[バケット所有者の強制] 設定を適用します。