S3データへのアクセスと暗号化を組み合わせる

認証、認可、ネットワーク境界、暗号化、秘密情報の保護を要件へ対応付ける。

S3バケットポリシー

バケット内オブジェクトへのPrincipal・Action・Resourceを定義するリソースポリシー。

SSE-KMS

KMSキーを使ってS3オブジェクトをサーバー側暗号化する方式。

KMSキーポリシー

暗号鍵の管理・使用を許可する主体を定義するポリシー。

バケット公開

不特定多数へS3アクセスを許可する設定。

バケットを公開し、アプリケーションだけでアクセスを隠す

バケット公開は不特定の主体へアクセスを許可し、最小権限に反する。

KMSキーを公開し、誰でも復号できるようにする

暗号鍵の公開はデータ保護を失わせる。