share facebook facebook2 twitter menu hatena pocket slack

2017.01.11 WED

CloudTrail用のS3 Bucket Policyの設定(全リージョン対応版)

磯辺 和彦

WRITTEN BY 磯辺 和彦

以前に、CloudTrailのログを受け取るのに、S3 Bucket Policyでリージョンごとに設定を追加する方法を書いた。

Central regionやLondon regionが追加されたということで、また更新しないといけないかと思ったら、いつの間にか、今後登場するものも含めて、全てのリージョンに対応する方法が案内されていた。

つまり、下記のようなPolicyを適用すれば良いようだ。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailAclCheck20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::myBucketName"
        },
        {
            "Sid": "AWSCloudTrailWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::myBucketName/[optional prefix]/AWSLogs/myAccountID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control"
               }
            }
        }
    ]
}

myBucketName, optional prefix, myAccountID を書き換える。複数のアカウントから受ける場合は、myAccountIDはワイルドカード ‘*’ にできる。

元記事はこちら

CloudTrail用のS3 Bucket Policyの設定(全リージョン対応版)

磯辺 和彦

磯辺 和彦

cloudpackに参加して以来、設計・構築・運用・開発・セキュリティなど様々な経験を経て、現在は主に社内インフラ関連を担当中。WEB+DB Press Vol.85に記事書きました。