S3のアクセス制御方法
バケットポリシーを使う場合
・自分のAWSアカウントのIAMユーザーやほかのAWSアカウントに対して、オブジェクトもしくはバケットへのアクセス権限を設定する場合はこれを使う
・アクセスしてきたIPアドレスやドメイン名を見て、アクセス制御することもできる
S3のACLを使う場合
・ほかのAWSアカウントに対して、オブジェクトもしくはバケットへの読み取り/書き込み操作を許可する場合はこれを使う
・アクセスしてきたIPアドレスやドメイン名を見て、アクセス制御することはできない
署名付きURLを使う場合
・非公開設定されたオブジェクトに対して、AWSアカウントを持ってないユーザーなどにアクセスさせたい場合はこれを使う
・署名付きURLとは、非公開オブジェクトにアクセスでき、ダウンロード/アップロードをこなせる有効期限付きのURLのこと
オブジェクトロックの種類
リーガルホールド
ロック期間が無限の設定
権限を持たないユーザーに対して、リーガルホールドが解除されるまでオブジェクトを読み取り専用にする
リテンションモード
ロック期間が有限の設定
一定の期間だけ、オブジェクトを読み取り専用にする
期間中、ルート含むすべてのユーザーが読み取り専用になるコンプライアンスモードと、権限を持たないユーザーのみ読み取り専用になるガバナンスモードの２種類がある
ライフサイクルポリシー
S3バケット内のデータに対して、ストレージクラスの変更やオブジェクトの削除を自動化する機能
S3のストレージクラス
①スタンダード
すぐアクセスできて、アクセス頻度の高いデータ向け
②STANDARD-IA
すぐアクセスできて、アクセス頻度の低いデータ向け(1ヶ月に１回くらい)
③One Zone-IA
すぐアクセスできて、アクセス頻度が低く(1ヶ月に１回くらい)、万が一ぶっ飛んで消えてもいいデータ向け
④Intelligent-Tiering
アクセス頻度が不明なデータ向け
⑤Gracier Instant Retrieval
すぐアクセスできて、4ヶ月に１回くらいアクセスするデータ向け
⑥Gracier Flexible Retrieval(ふつうのGracier)
アクセスに数分から数時間かかり、1年に１回くらいアクセスするデータ向け
⑦Gracier Deep Archive
アクセスに数時間かかり、１年に１回アクセスするかどうかもわからないデータ向け
Gracierのデータ取り出しオプション
①標準取り出し
普通に取り出す
②迅速取り出し
追加料金を払って標準取り出しよりも早くデータを取り出す
③大容量(バルク)取り出し
バカでかいデータを取り出す
標準より時間かかるけど、料金は安い
S3のデータ暗号化
サーバー側の暗号化
データをS３に保存するときにサーバー側で暗号化する方法
S3にデータが保存されるタイミングでS3が暗号化する
複合化もS3が行う
・SSE-S3
複合化のカギはS3が管理する
・SSE-KMS
複合化のカギはKMSで管理する
・SSE-C
複合化のカギはユーザーで管理する
クライアント側の暗号化
データをユーザーが暗号化してからS3に保存する方法
複合化もユーザーが行う