「鍵をかけたはずなのに…？」AWS S3バケットを泥棒から守る、鉄壁の防犯術
こんにちは。セキュリティの世界で長年、泥棒（攻撃者）の手口と戦ってきた筆者です。
皆さんは、AWS S3というサービスをご存知でしょうか？簡単に言えば、クラウド上の「超便利な貸し倉庫」です。画像やバックアップデータ、さらには機密書類まで何でも放り込める夢のような場所ですが、一つだけ大きな落とし穴があります。
それは、「設定を一歩間違えると、世界中の誰もがあなたの倉庫の中身を覗き放題になってしまう」という点です。
今日は、新人のエンジニアや開発者の皆さんが「うっかり」で会社を危機に陥らせないよう、S3の防犯対策について、身近な例えを交えてお話ししますね。
—
1. なぜ「倉庫」は公開されてしまうのか？
イメージしてください。あなたは家に最新のスマートロック（S3のバケットポリシー）を導入しました。でも、鍵の管理が面倒で、「誰でも入れるモード（ACL：アクセス制御リスト）」という古い防犯機能がオンのままだったとしたら……？
S3における「意図しない公開」は、多くの場合、この「古い鍵（ACL）」と「最新の鍵（バケットポリシー）」が混在している混乱から生まれます。
攻撃者は、ツールを使ってインターネット上のS3バケットを片っ端からスキャンしています。鍵がかかっていない家を見つけたら、中身を盗むのは彼らにとって朝飯前なのです。
—
2. まずやるべきは「パブリックアクセスブロック」という「鉄格子」
S3には、どんなミスがあっても「絶対に外部から中身を見せない！」という最強の鉄格子があります。それが「S3 パブリックアクセスブロック」です。
これは「個別の設定がどうであれ、このバケットには外部からのアクセスを一切許さない」と強制的に蓋をする機能です。
どう設定するの？
AWSマネジメントコンソールで、対象のバケットを選択し、「アクセス許可」タブへ進んでください。そこで「ブロックパブリックアクセス」を編集し、「すべてをブロック」にチェックを入れてください。
これだけで、たとえ設定ミスがあっても「外部からは見えない」状態が物理的に担保されます。まずはここからです。
—
3. 「ACLの無効化」で鍵を一本化しよう
次に重要なのが「ACL（アクセスコントロールリスト）の無効化」です。
先ほどの例えで言えば、ACLは「昔ながらの合鍵」です。これがあると、バケットポリシー（最新のスマートロック）で制限をかけていても、個別のファイル単位で「公開」設定ができてしまうという厄介な仕様があります。
現在、AWSは「ACLを無効にして、バケットポリシーだけで管理する」ことを強く推奨しています。
ACLを無効にする手順
同じく「アクセス許可」タブから、「オブジェクト所有権」という項目を探して「編集」を押してください。そこで「ACL無効（推奨）」を選択します。
これで、複雑な鍵の管理から解放され、バケットポリシーという「一本の強固な門番」だけでアクセスを管理できるようになります。
—
4. 安全なバケットポリシーの書き方（コード例）
では、具体的に「特定の許可された人だけが入れる」門番（ポリシー）を見てみましょう。以下は、JSON形式で記述するバケットポリシーの例です。
{
“Version”: “2012-10-17”,
“Statement”: [
{
“Sid”: “AllowSpecificIPOnly”,
“Effect”: “Deny”,
“Principal”: “”,
“Action”: “s3:”,
“Resource”: [
“arn:aws:s3:::あなたのバケット名”,
“arn:aws:s3:::あなたのバケット名/”
],
“Condition”: {
“NotIpAddress”: {
“aws:SourceIp”: “123.456.78.90/32”
# 会社のオフィスなど、許可されたIPアドレス以外からのアクセスを拒否します
}
}
}
]
}
※このコードはあくまで一例です。実際には環境に合わせてIPアドレス等を修正してくださいね。
このポリシーは、「許可されたIPアドレス以外からのアクセスは、たとえ誰であっても『拒否（Deny）』する」という強力な盾の役割を果たします。
—
まとめ：一歩ずつ、着実に
セキュリティ対策は、完璧を目指すのではなく「穴を埋める」作業の積み重ねです。
1. パブリックアクセスブロックで鉄格子をかける
2. ACLを無効化して鍵を一本化する
3. バケットポリシーで特定のアクセスだけを許可する
この3ステップだけで、S3の安全性は劇的に向上します。
「自分は大丈夫」と思っている時ほど、ミスは忍び寄るものです。今日帰る前に、自分のS3バケットの設定画面を一度だけ確認してみてください。「パブリックアクセスブロック」にチェックが入っているか確認するだけでも、立派なセキュリティの第一歩ですよ。
一歩ずつ、一緒に学んでいきましょう！分からないことがあれば、いつでも相談してくださいね。
コメント