ECS：所有者以外のオブジェクト ユーザーの読み取り専用バケットACLがアップロードされたオブジェクトをダウンロードできない

バケットACLを使用して、所有者以外のオブジェクト ユーザーがバケットに読み取り専用として追加されました。

バケット以外の所有者であるオブジェクト ユーザーは、バケットACLの作成前にオブジェクト バケット所有者ユーザーによってアップロードされたオブジェクトをダウンロードできません。

問題の流れは次のとおりです。

1. オブジェクト所有者ユーザーが割り当てられたバケットが作成されました。
2. 一部のファイルは、オブジェクト所有者ユーザーによってバケットにアップロードされました。
3. バケットACLを使用して、所有者以外のオブジェクト ユーザーがバケットに読み取り専用として追加されました。
4. バケットにアクセスしようとすると、所有者以外のオブジェクト ユーザーは、新しくアップロードされたオブジェクトを一覧表示してダウンロードできますが、読み取り専用バケットACLの前にアップロードされたオブジェクトをダウンロードすることはできません。オブジェクトに対するユーザー権限が、ECS UIの構成に従ってS3ブラウザーに設定されていないことが分かります。

非所有者オブジェクト ユーザーがS3ブラウザーを使用してオブジェクトをクリックすると、次のようなエラーが発生します。(アクセス拒否: アクセスが拒否されました):
 

オブジェクト所有者ユーザー(a_s3user)と非所有者オブジェクト ユーザー(a_s3test)のバケットACL設定は次のとおりです。

S3権限は、バケット レベルまたはオブジェクト レベルで設定できます。適用されるポリシーのタイプに応じて、ECSはAWS S3と同じ原則に従います。これにより、バケット レベルまたはオブジェクト レベルで許可される操作のタイプが決まります。

1. ECSバケット レベルでREADおよびREAD ACLが付与されている場合、非バケット所有者はバケット内のオブジェクトの一覧表示のみを行います。非バケット所有者はバケットからデータをダウンロードできません
2. バケットにオブジェクトを書き込む場合、オブジェクトを書き込んだユーザーのみが読み取り権限を持ちます。他のユーザーがオブジェクトを読み取るには、所有者がユーザーに明示的にアクセス許可を付与する必要があります。
3. バケット以外の所有者に権限を付与するには、S3バケット ポリシーを使用する必要があります 

次の表に、割り当て可能なACL権限を示します。適用可能な権限は、バケットのタイプによって異なります。

表1バケットACL

ACLの	アクセス権
読み取り	ユーザーはバケット内のオブジェクトを一覧表示できます
ACLの読み取り	ユーザーはバケットACLを読み取ることができます
書き込み	ユーザーはバケット内の任意のオブジェクトを作成またはアップデートできます
ACLを書き込みます。	ユーザーはバケットのACLを書き込むことができます
［Execute］	ファイル システムとしてアクセスされた場合の実行権限を設定します。この権限は、ECSオブジェクト プロトコルを使用してオブジェクトにアクセスする場合には無効です。
フル コントロール	ユーザーに読み取り、書き込み、ACLの読み取り、ACLの書き込みを許可します。 注：  権限が付与されている場合、またはオブジェクトの一覧表示のみが許可されている場合は、所有者以外は読み取り、書き込み、読み取りACL、書き込みACLを実行できます。
特権書き込み	ユーザーが通常の書き込み権限を持っていない場合に、ユーザーがバケットまたはオブジェクトへの書き込みを実行できるようにします(CASバケットに必要)
削除	ユーザーはバケットとオブジェクトを削除できます - CASバケットに必要です
なし	ユーザーにはバケットに対する権限がありません。

AWSは 複数のポリシー タイプをサポートしています。  

• アクセス制御リスト(ACL) 
• IDベースのポリシー 
• 権限の境界 
• リソースベースのポリシー 

AWSバケットACLリファレンス

次の表に、Amazon S3 が ACL でサポートするアクセス許可のセットを示します。ACL権限のセットは、オブジェクトACLとバケットACLで同じです。ただし、コンテキスト(バケットACLまたはオブジェクトACL)に応じて、これらのACL権限は特定のバケットまたはオブジェクト操作の権限を付与します。次の表に、権限のリストと、オブジェクトとバケットのコンテキストにおけるその意味を示します。

Amazon S3ドキュメント

次の表は、各ACL権限が対応するアクセスポリシー権限にどのようにマッピングされるかを示しています。ご覧のとおり、アクセス ポリシーでは、ACLよりも多くの権限が許可されます。ACLは主に、ファイル システムの権限と同様に、基本的な読み取り/書き込み権限を付与するために使用します。ACL を使用するタイミングの詳細については、「使用可能なアクセス ポリシー オプションの使用に関するガイドライン」を参照してください。

オプション1:
『 ECSデータ アクセス ガイド』バケット ポリシーの使用方法を参照してください。すべてのアクションを許可するかまったく許可しないACLとは異なり、アクセス ポリシーは、特定のユーザーまたはすべてのユーザーに、特定のアクションに対する条件付きで詳細な権限を提供します。ポリシー条件を使用して、条件に一致するオブジェクトの範囲に権限を割り当てることができます。これを使用して、新しくアップロードされたオブジェクトに権限を自動的に割り当てることができます。

リファレンスAWS S3: 
https://docs.aws.amazon.com/AmazonS3/latest/API/API_PutObjectAcl.html
https://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies.html
https://docs.aws.amazon.com/AmazonS3/latest/API/API_Operations.html

UI-> Manage->Bucket-> Edit bucket policyで、ポリシー エディターに次のように入力します。

{
  "Version": "2012-10-17",
  "Id": "Policy1593674317613",
  "Statement": [
    {
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "bucket_name/*",
      "Effect": "Allow",
      "Principal": "read-only_user",
      "Sid": "Stmt1593673962638"
    }
  ]
}

オプション2:
オブジェクト所有者でS3ブラウザーを使用して、読み取り専用バケットACLの前にアップロードされたオブジェクトの認証済みユーザーの権限を変更し、所有者以外のオブジェクト ユーザーがオブジェクトをダウンロードできるようにします。

オブジェクト所有者を介してオブジェクトをアップロードする際に問題が発生し、書き込みアクセス権を持つ認証済みユーザーに権限が適用されない場合は、ナレッジベース記事520711