プロジェクトタグでS3アクセスを分離する

認可では、誰が何をどのリソースへ行えるかを最小権限で定義し、タグ・行・列・アカウント境界を組み合わせる。

IAMのaws:PrincipalTagとaws:ResourceTagをConditionで比較する

ABACは主体・リソース属性を条件にする認可方式である。

すべてのプロジェクトへ個別ロールを作る

個別ロールは属性条件の代替だが保守負荷が高い。

バケット名の接頭辞をUIで確認する

UI表示は認可制御ではない。

CloudTrailへProjectタグを記録する

CloudTrailは監査履歴を提供する。