CloudFormationでS3バケットを作る最小構成と、初学者がつまずきやすい設定
はじめに
CloudFormationを学び始めると、まず最初に作成するAWSリソースの1つがAmazon S3ではないでしょうか。
S3バケット自体は数行のYAMLで作成できますが、実際に試してみると
- バケット名重複で作成できない
- パブリックアクセス設定がよく分からない
- スタック削除時に削除できない
といったポイントでつまずくことがあります。
この記事では、CloudFormationでS3バケットを作成する最小構成と、初学者が理解しておきたい設定について解説します。
最小構成
まずは最小構成です。
AWSTemplateFormatVersion: '2010-09-09'
Description: Simple S3 bucket template
Resources:
SampleBucket:
Type: AWS::S3::Bucket
これだけでS3バケットを作成できます。
CloudFormationでは AWS::S3::Bucket を定義するだけで、バケット名が自動生成されます。
バケット名を指定する場合
バケット名を固定したい場合は BucketName を指定します。
Resources:
SampleBucket:
Type: AWS::S3::Bucket
Properties:
BucketName: my-sample-bucket-12345
つまずきやすいポイント① バケット名はグローバルで一意
S3バケット名はAWSアカウント単位ではなく、世界中で一意である必要があります。
例えば以下のような名前は既に使われている可能性が高いです。
test-bucket
sample
my-bucket
スタック作成時に次のようなエラーになることがあります。
Bucket already exists
そのため、
- プロジェクト名
- 環境名（dev / stg / prod）
- ランダム文字列
などを組み合わせることが一般的です。
つまずきやすいポイント② パブリックアクセス設定
S3は静的Webサイト公開でも利用できますが、基本は非公開を前提に考えるのが安全です。
CloudFormationでは次の設定をよく利用します。
PublicAccessBlockConfiguration:
BlockPublicAcls: true
BlockPublicPolicy: true
IgnorePublicAcls: true
RestrictPublicBuckets: true
完全に有効化すると、意図しない公開を防止できます。
学習中は
「なぜ公開できないのか」
ではなく
「なぜ公開されないようになっているのか」
という視点で理解すると分かりやすいです。
つまずきやすいポイント③ 暗号化設定
現在はS3側でも暗号化が有効になりますが、CloudFormation上で明示しておくと設定意図が分かりやすくなります。
BucketEncryption:
ServerSideEncryptionConfiguration:
- ServerSideEncryptionByDefault:
SSEAlgorithm: AES256
チーム開発では特に明示しておくことをおすすめします。
つまずきやすいポイント④ スタック削除で消えない
CloudFormation初心者が意外とハマるポイントです。
S3バケット内にオブジェクトが存在すると、スタック削除時にバケット削除が失敗する場合があります。
The bucket you tried to delete is not empty
検証環境でよく遭遇するエラーです。
DeletionPolicyを利用する
削除時の扱いを明示したい場合は DeletionPolicy を利用できます。
Resources:
SampleBucket:
Type: AWS::S3::Bucket
DeletionPolicy: Retain
この設定を入れると、スタック削除後もS3バケットを残せます。
少し実用的な構成例
AWSTemplateFormatVersion: '2010-09-09'
Description: S3 bucket with basic security settings
Resources:
SampleBucket:
Type: AWS::S3::Bucket
DeletionPolicy: Retain
Properties:
BucketName: my-sample-bucket-12345
PublicAccessBlockConfiguration:
BlockPublicAcls: true
BlockPublicPolicy: true
IgnorePublicAcls: true
RestrictPublicBuckets: true
BucketEncryption:
ServerSideEncryptionConfiguration:
- ServerSideEncryptionByDefault:
SSEAlgorithm: AES256
学習用途であれば、このあたりの設定を理解しておくとS3の基本を一通り確認できます。
まとめ
S3バケットはCloudFormationで簡単に作成できますが、実際には次のポイントを理解しておくことが重要です。
- バケット名はグローバルで一意
- パブリックアクセス設定は慎重に扱う
- 暗号化設定を明示する
- スタック削除時の挙動を理解する
最初は最小構成から始めて、少しずつ設定を追加していくのがおすすめです。
おまけ
私は現在、CloudFormationをGUIで作成できる学習支援ツール IaCraft を個人開発しています。
S3やCloudFrontなどの設定をフォーム入力で作成し、CloudFormationテンプレートを生成できるようにしています。
現在は試験公開中で、どのような機能が役立つかを検証しています。
もし興味があれば触ってみていただき、感想をいただけると嬉しいです。