Amazon S3 Files アクセスの設定

S3 Files は、任意の AWS コンピューティングリソースを Amazon S3 のデータに直接接続する共有ファイルシステムを提供します。Amazon S3 Files は、ローカルマウントパスでの読み取りと書き込みなどの標準のファイルシステムオペレーションを使用して、ファイルとしての Amazon S3 オブジェクトへのアクセスを提供します。Amazon S3 Files の詳細を参照してください。

前提条件と設定

Lambda 関数で Amazon S3 Files をセットアップする前に、以下のものがあることを確認してください。

詳細については、「Amazon S3 ユーザーガイド」の次のトピックを参照してください。

実行ロールとユーザーアクセス許可

Amazon S3 Files ファイルシステムにアクセスするには、関数の実行ロールに次のアクセス許可が必要です。

これらのアクセス許可は、AmazonS3FilesClientReadWriteAccess 管理ポリシーに含まれています。さらに、実行ロールは、ファイルシステムの VPC に接続するために必要な許可を備えている必要があります。

Amazon S3 から直接読み取るには、関数に次のアクセス許可が必要です。

必要なアクセス許可の詳細については、「Amazon S3 ユーザーガイド」の「IAM permissions for Amazon S3 Files」を参照してください。

コンソールでファイルシステムを設定する場合、Lambda はユーザーのアクセス許可を使用してマウントターゲットを検証します。ファイルシステムに接続するように関数を設定するには、ユーザーに以下のアクセス許可が必要です。

次のポリシー例は、読み取り/書き込みアクセスと Amazon S3 からの直接読み取りで Amazon S3 ファイルシステムをマウントする実行ロールアクセス許可を関数に付与します。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "S3FilesLambdaAccess",
            "Effect": "Allow",
            "Action": [
                "s3files:ClientMount",
                "s3files:ClientWrite"
            ],
            "Resource": "*"
        },
        {
            "Sid": "S3DirectRead",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::bucket-name/*"
        },
        {
            "Sid": "S3FilesConsoleSetup",
            "Effect": "Allow",
            "Action": [
                "s3files:ListFileSystems",
                "s3files:ListAccessPoints",
                "s3files:GetFileSystem",
                "s3files:GetAccessPoint",
                "s3files:CreateAccessPoint"
            ],
            "Resource": "*"
        }
    ]
}

ファイルシステムへの接続 (コンソール)

関数は、VPC 内のローカルネットワークを介してファイルシステムに接続します。関数が接続するサブネットは、ファイルシステムのマウントポイントを含む同じサブネットでも、NFS トラフィック (ポート 2049) をファイルシステムにルーティングできる同じアベイラビリティーゾーン内のサブネットでもかまいません。

Lambda 関数を次回呼び出すときにファイルシステムがアタッチされます。