バケットポリシーの記述を誤りマネコンからS3バケットを操作できなくなりそうになり、ルートアクセス管理を有効にしたおひとり様Organizationsの話

2026/4/10 AWS Community Builders Night #3　登壇資料

Transcript

1. バケットポリシーの記述を誤りマネコンからバケットを 操作できなくなりそうになり、ルートアクセス管理を 有効にしたおひとり様Organizationsの話 2026/4/10 AWS Community Builders Night #3
2. 自己紹介 藤田 直幸　X：@amarelo_n24 　・AWS Community Builders(Security) 　・JAWS-UG 彩の国埼玉支部 運営 　・コーヒー焙煎人兼エンジニア ・おひとり様BuilderCards Player 好きなAWSサービス：IAM、S3、Organizations 好きなこと：コーヒー豆の焙煎
3. 今回の話は去年9月と11月に登壇した内容のダイジェストです。 Community Builders 応募の際にこの話についてアピールしましたので、 今日はこの話をします！！ ▪バケットポリシーの記述を誤りマネコンからS3バケットを操作できなくなりそうになった話 https://qiita.com/amarelo_n24/items/225456495d3a896c8004 ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう！ https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3 はじめに：今回の登壇について
4. ▪話すこと ・Amazon S3（以下、S3）バケットポリシーの記述を誤り、バケットの操作 　がすべてできなくなった際の復旧と原因について ・ルートアクセス管理を有効にした話 ▪話さないこと ・詳細な手順 ※本資料に記載の内容は、個人利用の範囲で試した結果です。 　個人の見解であり、所属組織を代表するものではありません。 はじめに：今回の登壇について
5. １．バケットポリシー適用したらバケット操作できなくなった！？ ２．復旧方法と原因 ３．ルートアクセス管理を有効に ４．最後に アジェンダ
6. １．バケットポリシー適用したらバケット操作できなくなった！？
7. VPCエンドポイント経由でEC2からS3へアクセス S3にてVPCエンドポイントを経由した アクセスのみを許可
8. 特定のVPCエンドポイントを経由した場合にオブジェクトの参照と格納を許可する 適用したS3バケットポリシー { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": [ "s3:GetObject", "s3:ListBucket", "s3:PutObject" ], "Resource": [ "arn:aws:s3:::bucket-name", "arn:aws:s3:::bucket-name/*" ], "Condition": { "StringEquals": { "aws:sourceVpce": "vpce-xxxxxxxxx" } } }, { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": [ "arn:aws:s3:::bucket-name", "arn:aws:s3:::bucket-name/*" ], "Condition": { "StringNotEquals": { "aws:sourceVpce": "vpce-xxxxxxxxx" } } } ] }
9. バケットポリシー取得アクセスできない！？
10. オブジェクトも見えずバケット削除も不可…
11. ２．原因と復旧方法
12. マネージドコンソールからのアクセスも、特定のVPCエンドポイントを 経由していないため拒否された！ エラーが表示された原因 あくまでも指定していたのは、特定のVPC エンドポイント以外のS3操作の明示的な拒 否。 マネコンからのアクセスはこの条件に合致 してしまった。
13. Amazon Q Developerにポリシーを書いてもらいましたが、「AWSのことを Amazon Q Developer に聞いて出てきたアウトプットだからまぁー大丈夫か」と 油断して、内容を十分確認していませんでした… こんなポリシーにした原因
14. { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": [ "s3:GetObject", "s3:ListBucket", "s3:PutObject" ], "Resource": [ "arn:aws:s3:::bucket-name", "arn:aws:s3:::bucket-name/*" ], "Condition": { "StringEquals": { "aws:sourceVpce": "vpce-xxxxxxxxx" } } }, ・ルートユーザでログイン後にバケットポリシーを削除。 ・バケットポリシーを編集。 { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": [ "arn:aws:s3:::bucket-name", "arn:aws:s3:::bucket-name/*" ], "Condition": { "StringNotLike": { "aws:userId": "XXXXXXXXXXXXXXXXXXX:*" }, "StringNotEquals": { "aws:sourceVpce": "vpce-xxxxxxxxx" } } } ] } 復旧方法 以下のいずれかに合致しないアクセ スを拒否 ・特定のVPCエンドポイント経由 ・特定のIAMロール
15. ・バケットポリシーで明示的拒否を適用する場合は、慎重に確認してから 　適用しないと痛い目に合う。特に本番環境。 　※IAMポリシー・Organizations SCPも同様 ・ポリシーを生成AIに作らせても過信してはいけない。 ・私がAmazon Q Developer に送ったプロンプトが悪かった可能性もある。 　上手に生成AIを使ってセキュリティ対策できるようにならねば！ ここまでの学び
16. ３．ルートアクセス管理を有効に
17. AWS Organizations 管理アカウントからバケットポリシーを削除することができ る「ルートアクセス管理」を知りました。リリースされたのは2024年11月。アップ デートに追従できていないことを痛感！！ バケットポリシー記述ミスから程なくして
18. AWS Organizations 所属のメンバーアカウントの ・ルートユーザーの認証情報削除・追加を一元管理 ・バケットポリシーの削除 ・Amazon SQSのキューポリシーの削除 をすることができます。 https://aws.amazon.com/jp/about-aws/whats-new/2024/11/manage-root-access-aws-identity-access-manag ement/ ルートアクセス管理とは
19. 管理アカウントのIAMの画面から「ルートアクセス管理」を開き、 「有効化」ボタンを押します。 ※OrganizationsではなくIAMの画面なのでお間違いなく！ ルートアクセス管理の有効化！
20. ルートアクセス管理を有効 ・ルート認証情報管理 　ルートユーザーの認証情報削除・登録を許可 ・メンバーアカウントでの特権ルートアクション 　バケットポリシーとSQSキューポリシーの削除を許可 「有効化」クリック後、「ルートアクセス管理 が有効になっています」と表示されたら設定 完了
21. メンバーアカウントのルートユーザー認証情報削除
22. ルートユーザログインせずバケットポリシー削除可能に
23. ルートユーザの認証情報管理負荷が減った バケットポリシーを間違えてもヨシ！（違う）
24. ・ルートアクセス管理を有効にすれば、マルチアカウント運用における 　ルートユーザー認証情報管理から解放される。 　※ただし、管理アカウントのルートユーザー認証情報は対象外 ・IAM Identity Center も有効にすれば、IAMユーザーの管理負荷も 　軽減することができる！ ・アップデート情報を日々追った結果をアウトプットすることが大事！ ・新機能を知れば、より効果的なセキュリティ対策の可能性が広がる！ ここまでの学び
25. ４．最後に
26. ルートユーザーでバケットポリシー削除できること、ルートアクセス管理が あることを知ることができたのは、私より先にアウトプットしていた方々が いたからこそです。 自分だけの力ではCommunity Builders 選出されなかったので、感謝して もしきれません🙇 私も誰かの役に立てて後押しになるアウトプットをできるように、 Community Builder 活動に力を入れていきたいと思います！！ 最後に
27. 彩の国埼玉支部宣伝！Save the Date!! 2026/5/30（土） １周年！ 2026/7/5 （日） JAWS-UG 北陸新幹線 大宮開催！！ https://jawsug-sainokuni-saitama.connpass.com/event/387763/
28. ご清聴ありがとうございました！