誤設定によるS3公開を組織全体で防ぐ

認証、認可、暗号化、監査、境界防御の役割を整理する。

S3 Block Public Accessをアカウントまたは組織の基準として有効化する

公開アクセスに関する設定をまとめてブロックし、個別バケットの誤設定リスクを下げられる。

バケット名を推測困難にする

名前の秘匿はアクセス許可を制御しない。

Route 53のプライベートゾーンでバケットを隠す

DNSゾーンはS3バケットポリシーの公開許可を無効化しない。

IAM管理者へ公開設定を無制限に許可する

公開設定の誤操作を防げず、ガバナンスを弱める。

S3 Block Public Access

S3の公開アクセスをアカウント・バケット単位でブロックする設定。

公開アクセス

不特定の主体がバケットやオブジェクトを取得できる状態。