特定ロールだけS3書き込みを許可する

認可では、誰が何をどのリソースへ行えるかを最小権限で定義し、タグ・行・列・アカウント境界を組み合わせる。

S3バケットポリシーでPrincipal・Resource・Action・Conditionを限定する

リソースベースポリシーはアクセス対象側で主体と操作を制御する。

バケットを外部アカウントへフルアクセス共有する

フルアクセスは最小権限でない。

IAMポリシーだけで外部側の誤設定を防ぐ

クロスアカウントは両側の許可を確認する。

CloudTrailのPutObjectイベントを許可に変える

CloudTrailは操作履歴である。