Amazon S3 バケットへの読み書きアクセスの許可

このセクションでは、特定の Amazon S3 バケットへの読み取りおよび書き込みアクセスを許可するIAMポリシーを作成する方法について説明します。このIAMポリシーを持つIAMロールをユーザーに割り当てると、そのユーザーに指定された Amazon S3 バケットへの読み取り/書き込みアクセスが付与されます。

以下のポリシーは、Amazon S3 バケットへのプログラムによる読み取り、書き込み、タグ付けアクセスを提供します。GetObjectACLおよびPutObjectACLステートメントは、クロスアカウントアクセスを有効にする必要がある場合にのみ必要です。つまり、Transfer Family サーバーは、別のアカウントのバケットにアクセスする必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid":"ReadWriteS3",
      "Action": [
            "s3:ListBucket"
                ],
      "Effect": "Allow",
      "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:GetObjectTagging",
        "s3:DeleteObject",              
        "s3:DeleteObjectVersion",
        "s3:GetObjectVersion",
        "s3:GetObjectVersionTagging",
        "s3:GetObjectACL",
        "s3:PutObjectACL"
      ],
      "Resource": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"]
    }
  ]
}    

ListBucket アクションには、バケット自体のアクセス許可が必要です。PUT、GET、および DELETE アクションにはオブジェクトのアクセス許可が必要です。これらは異なるリソースであるため、異なる Amazon リソースネーム () を使用して指定されますARNs。

指定した Amazon S3 バケットの home プレフィックスのみにユーザーのアクセスをさらに制限するには、Amazon S3 バケットのセッションポリシーの作成 を参照してください。