Amazon S3 バケットへのアクセスを許可する VPC や IP アドレスを指定する方法を教えてください。をやってみる。

はじめに

某金融業界にもようやくAWSの波が来つつあるこの頃、とりあえずデータセンターとAWSをDirect Connectでつないでセキュリティを確保しつつ、AWSのElasticなコンピューティングパワーを活用するというやり方が今後スタンダードになりそうな予感です。

今回のゴール

そうすると問題なのがインターネット禁止という制約。今回は、S3のStatic Web Hostingで作るWebサイトを、インターネットアクセス禁止、特定のVPC経由のみ可能とする。というのをやります。

AWS Developer Forum最高

ググったけど全然わからなかったので、AWS Developer Forumに聞いてみたところ、一瞬で解決したので、みなさんもググってQiita読んでも解決しなかったら、Forumに投稿してみるとよいと思います。

・Discussion Forums > Category: Japanese Forums
https://forums.aws.amazon.com/category.jspa?categoryID=9

参考URL

Amazon S3 バケットへのアクセスを許可する VPC や IP アドレスを指定する方法を教えてください。
https://aws.amazon.com/jp/premiumsupport/knowledge-center/block-s3-traffic-vpc-ip/

手順

設定手順

VPC

• 「1 個のパブリックサブネットを持つ VPC」を作成する
• サービスエンドポイントに「com.amazonaws.us-east-1.s3」を追加する
  • こいつがVPCからS3にインターネット経由しないでアクセスするためのもの
• エンドポイントのメニューで、作成したVPCのエンドポイントIDをメモしておく（vpce-xxxxxxxxxxxxxxxxx）

S3

• バケットを作る
• 作ったバケットのルートフォルダにindex.htmlをアップロードする
  • index.htmlを公開する
• 作ったバケットのプロパティ＞「Static website hosting」
  • 「このバケットを使用してウェブサイトをホストする」にチェック
  • インデックスドキュメントに「index.html」を入力
  • 保存ボタンをクリック
  • エンドポイントURLをメモしておく
• 作ったバケットのアクセス権限＞ブロックパブリックアクセス
  • 「パブリックアクセスをすべてブロック」をオフにして保存（つまり全部公開）
• 作ったバケットのアクセス権限＞バケットポリシー
  • 下記を入力して保存する
  • [bucketname]と[VPC Endpoint ID]は適宜置き換える

{
  "Version": "2012-10-17",
  "Id": "VPCe and SourceIP",
  "Statement": [{
    "Sid": "VPCe and SourceIP",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": [
      "arn:aws:s3:::[bucketname]",
      "arn:aws:s3:::[bucketname]/*"
    ],
    "Condition": {
      "StringNotLike": {
        "aws:sourceVpce": [
          "[VPC Endpoint ID]"
        ]
      }
    }
  }]
}

テスト手順

• 作成したVPC内にEC2インスタンスを起動する
• sshでログインして、curlコマンド等でS3のエンドポイントURLにアクセス可能であることを確認する。
• 端末のブラウザ等からS3のエンドポイントURLにアクセス不可であることを確認する。（403 Forbidden）

たぶん

API Gateway回りも同様にハマりそうな予感。