勉強前イメージ

S3の機能で、MFAで消せる的な？

調査

S3 MFA delete とは

s3のバージョニング機能のオプションで、
オブジェクトのバージョンを削除する際にMFAの数値の入力が必要になります。

また、以下のような制限があります。

s3バケットがバージョニング設定が有効になっている必要がある
設定できるのはルートアカウントのみ(フル権限を持ったIAMユーザでも不可能)
ルートアカウントに2段階認証の設定がされている必要がある
AWS CLI または API で、設定可能。(マネジメントコンソールでは不可能)
MFA DELETEが設定されている場合はバージョニング設定の無効化は不可能。

設定してみる

適当なバケットの作成

バケットの作成

test-backet-202109 を作成しました。
バージョニングは有効にしておきます。

rootアカウントで設定を行う

ログイン

rootアカウントでログインします。

アクセスキーの作成

セキュリティ情報へ進む

マイセキュリティ資格情報 へ進みます

アクセスキーの作成を行う

アクセスキーIDとシークレットアクセスキーをメモします。

MFA deleteの設定を行う

AWS CloudShellを実行

上のバーから簡単にいけます。

アカウントの認証情報を設定

先程取得した、アクセスキーIDとシークレットアクセスキーを記載し実行します。

export AWS_DEFAULT_REGION=ap-northeast-1
export AWS_ACCESS_KEY_ID=[アクセスキーID]
export AWS_SECRET_ACCESS_KEY=[シークレットアクセスキー]

MFA有効化前に確認

aws s3api get-bucket-versioning --bucket [バケット名] で現在の状況を確認できます。
Enabledになってるのは、バージョニング設定です。

aws s3api get-bucket-versioning --bucket test-backet-202109
{
    "Status": "Enabled"
}

MFA有効化を行う

aws s3api put-bucket-versioning --bucket test-backet-202109[バケット名] \
  --versioning-configuration MFADelete=Enabled,Status=Enabled \
  --mfa 'arn:aws:iam::XXXXXXXXXXXX[アカウントID]:mfa/root-account-mfa-device XXXXXX[MFAの数値]'

MFA有効化後に確認

MFADeleteが追加されました。

aws s3api get-bucket-versioning --bucket test-backet-202109
{
    "Status": "Enabled",
    "MFADelete": "Enabled"
}

MFA DELETE設定を確認

てきとうなファイルをアップしました

test-s3.txt ファイルです。

aws s3api list-object-versions \
--bucket test-backet-202109 \
--prefix test-s3.txt \
--query "Versions[].Key"
[
    "test-s3.txt"
]

消してみます

あれ？MFA聞かれずに消せちゃいました・・・

aws s3 rm s3://test-backet-202109/test-s3.txt
delete: s3://test-backet-202109/test-s3.txt

確認

削除フラグがついてただけで、実際は消えてないようでした。

aws s3api list-object-versions \
--bucket test-backet-202109 \
--prefix test-s3.txt \
--query "DeleteMarkers[].Key"
[
    "test-s3.txt"
]

実体も消す

vertionIDをしてしないといけないため、確認

aws s3api list-object-versions \
--bucket test-backet-202109 \
--key test-s3.txt \
--query "DeleteMarkers[].VersionId"
[
    "XXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
]

vertionIDをしてして削除。
MFA DELETE設定が有効になってるので、意図通りエラーになりました。

aws s3api delete-object \
--bucket test-backet-202109 \
--key test-s3.txt \
--version-id XXXXXXXXXXXXXXXXXXXXXXXXXXXXX

An error occurred (AccessDenied) when calling the DeleteObject operation: Mfa Authentication must be used for this request

以下でMFAを追加し、消えます。

aws s3api delete-object \
--bucket test-backet-202109 \
--key test-s3.txt \
--version-id XXXXXXXXXXXXXXXXXXXXXXXXXXXXX \
--mfa 'arn:aws:iam::XXXXXXXXXXXX:mfa/root-account-mfa-device 580229'
{
    "VersionId": "XXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
}

バージョニング設定

無効化出来ないことを確認
コンソールを確認するとすでに記載がありました。

削除

MFA DELETE設定を削除

aws s3api put-bucket-versioning --bucket test-backet-202109[バケット名] \
  --versioning-configuration MFADelete=Disabled,Status=Enabled \
  --mfa 'arn:aws:iam::XXXXXXXXXXXX[アカウントID]:mfa/root-account-mfa-device XXXXXX[MFAの数値]'

バケットの削除
ルートアカウントでのアクセスキー無効化 → 削除
rootアカウントからログアウト

勉強後イメージ

絶対消せないファイルとかだったらこれやってもいいかも

参考