ある金融企業は、プライベートサブネットの EC2 インスタンスから Amazon S3 へのアクセスを S3 Gateway Endpoint 経由で実現しています。セキュリティチームから以下の追加要件が提示されました。

Question

ある金融企業は、プライベートサブネットの EC2 インスタンスから Amazon S3 へのアクセスを S3 Gateway Endpoint 経由で実現しています。セキュリティチームから以下の追加要件が提示されました。
・自社の AWS Organization 内の S3 バケットへのアクセスのみを許可する
・外部（他社の AWS アカウント）の S3 バケットへのデータアップロードを完全に遮断する（データ漏洩防止）
・既存の IAM ポリシーやバケットポリシーへの変更を最小限に抑える
・エージェントのインストールや OS への変更は不要とする

この要件を最も適切に実現する方法はどれですか？

Accepted Answer

正解: S3 Gateway Endpoint に VPC エンドポイントポリシーを設定し、aws:ResourceOrgID コンディションキーを使用して自組織の S3 バケットへのアクセスのみを許可する。VPC エンドポイントポリシーは Gateway Endpoint を通過するすべてのリクエストに適用されます。aws:ResourceOrgID コンディションキーを使用することで、アクセス先の S3 バケットが自社 AWS Organizations 内に属するもののみを許可できます。これにより外部アカウントの S3 バケットへのアップロードがエンドポイントレベルで遮断され、既存の IAM ポリシーやバケットポリシーを変更せずにデータ漏洩防止が実現できます。

選択肢Bのバケットポリシーへの aws:SourceVpce 追加は自社バケットへのアクセス制御に有効ですが、外部アカウントのバケットポリシーは自社管理外のため、外部バケットへのアップロードを直接遮断することはできません。

選択肢Cの aws:RequestedRegion はリージョンを制限しますが、同一リージョンに存在する外部アカウントの S3 バケットへのアクセスは依然として可能です。

選択肢DのNACLs による IP レンジ管理は、S3 の IP アドレスが AWS 全体で共有・動的変化するため、外部アカウントの S3 バケットのみをブロックすることは実質的に不可能です。

Answer

自社 S3 バケットのバケットポリシーに aws:SourceVpce コンディションを追加して特定の VPC エンドポイントからのアクセスのみ許可する — バケットポリシーへの aws:SourceVpce 追加は自社バケットへのアクセス制御に有効ですが、外部アカウントのバケットポリシーは自社管理外のため、外部バケットへのアップロードを直接遮断することはできません。

Answer

IAM ポリシーに aws:RequestedRegion コンディションを追加して特定リージョンの S3 のみ許可する — aws:RequestedRegion はリージョンを制限しますが、同一リージョンに存在する外部アカウントの S3 バケットへのアクセスは依然として可能です。

Answer

NACLs で S3 サービスの IP レンジ（AWS の ip-ranges.json）をホワイトリスト化し、それ以外の S3 関連 IP をブロックする — NACLs による IP レンジ管理は、S3 の IP アドレスが AWS 全体で共有・動的変化するため、外部アカウントの S3 バケットのみをブロックすることは実質的に不可能です。

解説

解説