EC2からS3へ長期認証情報なしでアクセスする

認証、認可、暗号化、監査、境界防御の役割を整理する。

EC2 IAMロールを作成し、インスタンスプロファイルへ関連付ける

EC2はロールから一時的な認証情報を取得し、長期アクセスキーを埋め込まずにS3へアクセスできる。

アクセスキーをユーザーデータへ平文で記載する

インスタンス上やログに秘密情報が露出する。

S3バケットを全世界へ公開する

認証を省略してデータを公開し、最小権限に反する。

KMSキーARNだけを使ってS3認証を行う

KMSキーARNはIAM認証情報の代わりにならない。

EC2 IAMロール

EC2上のアプリケーションへAWS API権限を与えるロール。

インスタンスプロファイル

EC2へIAMロールを渡すためのコンテナ。