Amazon S3 V2接続プロパティ

認証の準備

• •基本認証には、AWSアカウントからのアクセスキーとシークレットキーの値が必要です。
• •IAM認証では、特定のフォルダパスへのアクセスを許可し、Amazon S3オブジェクトにアクセスするために、EC2ロールにポリシーをアタッチする必要があります。
• •EC2ロール認証を使用したAssumeRoleでは、EC2ロールがIAMロールARNで指定された別のIAMロールを引き受けることができるようにする必要があります。
• •IAMユーザー認証を使用したAssumeRoleには、IAMユーザーのアクセスキーとシークレットキーの値、およびIAMロールのARNが必要です。
• •資格情報プロファイルファイル認証には、資格情報プロファイルファイルのパスとプロファイル名が必要です。資格情報プロファイルファイルには、アクセスキーが含まれています。
• •IAM Roles Anywhere認証には、資格情報プロファイルファイルのパスとプロファイル名が必要です。資格情報プロファイルファイルには、CA証明書ファイルとキーファイルのARNやパスが含まれています。
資格情報プロファイルファイルのパスとプロファイル名を設定するには、Amazon S3 V2接続プロパティで認証タイプとして［資格情報プロファイルファイル認証］を選択する必要があります。
• •フェデレーティッドユーザーシングルサインオン認証には、フェデレーティッドユーザーのユーザー名とパスワード、IdP SSO URL、SAML IDプロバイダのARN、およびフェデレーティッドユーザーが引き受けるIAMロールのARNが必要です。SSOにはADFS 3.0（IDP）のみを使用できます。

最小限のAmazon IAMポリシーの作成

• •GetObject
• •ListBucket

• •PutObject
• •GetObject
• •DeleteObject
• •ListBucket
• •ListBucketMultipartUploads.詳細モードのマッピングにのみ適用されます。

IAM認証

1. 1AWS_ACCESS_KEY_IDとAWS_SECRET_ACCESS_KEYまたはAWS_ACCESS_KEYとAWS_SECRET_KEY環境変数。
2. 2aws.accessKeyIdとaws.secretKey javaシステムプロパティ。
3. 3デフォルトの場所~/.aws/credentialsにある資格情報プロファイルファイル。
4. 4Amazon EC2メタデータサービスによって配信されるインスタンスプロファイル資格情報。

1. 1最小限のAmazon IAMポリシーを作成します。
2. 2Amazon EC2ロールを作成します。Amazon EC2ロールは、EC2システムを作成する場合に使用されます。Amazon EC2ロールの作成の詳細については、AWSのマニュアルを参照してください。
3. 3最小限のAmazon IAMポリシーをAmazon EC2ロールにリンクします。
4. 4EC2インスタンスを作成します。手順2で作成したAmazon EC2ロールをEC2インスタンスに割り当てます。
5. 5EC2システムにセキュアエージェントをインストールします。

EC2ロールとIAMユーザーを使用したAssumeRole

EC2ロールを使用したAssumeRole

• •Secure AgentをAmazon EC2などのAWSサービスにインストールします。
• •AWS EC2サービスにアタッチされたEC2ロールは、Amazon S3へのアクセス権を持っていてはいけませんが、別のIAMロールを引き受ける権限が必要です。
• •EC2ロールが引き受ける必要のあるIAMロールには、アクセス許可ポリシーと信頼ポリシーがアタッチされている必要があります。

IAMユーザーを使用したAssumeRole

外部ID

AssumeRoleポリシー

IAMユーザー

IAMユーザーは、同じAWSアカウントまたは異なるAWSアカウントで一時的なセキュリティ資格情報を使用するために、sts:AssumeRoleポリシーを持っている必要があります。

次のサンプルポリシーでは、IAMユーザーにAWSアカウントで一時的なセキュリティ資格情報を使用することを許可しています。

{
"Version":"2012-10-17", "Statement":{ "Effect":"Allow", "Action":"sts:AssumeRole", "Resource":"arn:aws:iam::<ACCOUNT-HYPHENS>:role/<ROLE-NAME>" }
}

次のサンプルポリシーでは、中国地域のIAMユーザーにAWSアカウントで一時的なセキュリティ資格情報を使用することを許可しています。

{
"Version":"2012-10-17", "Statement":{ "Effect":"Allow", "Action":"sts:AssumeRole", "Resource":"arn:aws-cn:iam::<ACCOUNT-HYPHENS>:role/<ROLE-NAME>" }
}

IAMロール

IAMロールは、IAMユーザーに一時的なセキュリティ資格情報を使用してAWSリソースにアクセスすることを許可するために、sts:AssumeRoleポリシーと、IAMロールにアタッチされた信頼ポリシーを持っている必要があります。ポリシーは、IAMユーザーがアクセスできるAWSリソースと、IAMユーザーが実行できるアクションを指定します。信頼ポリシーは、AWSリソースにアクセスできるAWSアカウントのIAMユーザーを指定します。

次のポリシーは、サンプルの信頼ポリシーです。

{
"Version":"2012-10-17", "Statement":[{ "Effect":"Allow", "Principal":{ "AWS":"arn:aws:iam::AWS-account-ID:root" },
"Action":"sts:AssumeRole" }
]
}
}

このポリシーでは、Principal属性で、IAMユーザーのARNを入力して、指定されたユーザーが一時的なセキュリティ資格情報を動的に生成できるようにすることもでき、それ以上のアクセスを制限できます。

以下に例を示します。

"Principal" : { "AWS" : "arn:aws:iam:: AWS-account-ID :user/ user-name " }

資格情報プロファイルファイルの認証

• •資格情報ファイルは、Secure Agentをインストールしたマシンと同じマシン上にある必要があります。
• •資格情報プロファイルファイル名は、.credentialsで終わる必要があります。
• •資格情報プロファイルのパスを指定しない場合、Secure Agentはホームディレクトリの次のデフォルトの場所にある資格情報プロファイルファイルを使用します。
~/.aws/credentials
注:
Windowsでは、環境変数%UserProfile%を使用してホームディレクトリを参照できます。Unix系のシステムでは、環境変数$HOMEを使用できます。
• •プロファイル名を指定しない場合、認証情報は認証情報ファイルのデフォルトプロファイルから使用されます。

IAM Roles Anywhere認証

1. 1認証局を設定します。
AWS Private Certificate Authorityを使用して認証局を作成し、CA証明書をインストールして認証局をアクティブ化します。
2. 2IAM Roles Anywhereを設定します。
1. aIAM Roles Anywhereで、作成した認証局を使用してトラストアンカーを作成します。
2. b最小限のS3権限を持つIAMロールと、IAM Roles Anywhereがそのロールを引き受けることを許可する信頼ポリシーを作成します。
3. cIAM Roles Anywhereコンソールでプロファイルを作成し、IAMロールをトラストアンカーにリンクします。
3. 3証明書を生成してダウンロードします。
1. aAWS Certificate Managerで、認証局に関連付けられたプライベート証明書を要求して取得します。
2. b証明書本体、証明書チェーン、および証明書プライベートキーをダウンロードしてエクスポートします。
3. cOpenSSLを使用してプライベートキーを復号します。
4. dプライベートキー、復号されたプライベートキー、および証明書をローカルディレクトリに配置します。
4. 4IAM資格情報ヘルパーをインストールし、aws_signing_helperツールを使用して、CreateSession APIを介して一時的な資格情報を要求します。
5. 5証明書ファイルとキーファイルへのARNやパスなど、プロファイルの詳細が含まれるAWS資格情報ファイルを作成します。
資格情報プロファイルファイルで以下のパラメータを指定します。
• - <agent_loc>\aws_signing_helper.exe.AWS資格情報ヘルパーツールへのパス。
• - --certificate <agent_loc>\certificate.pem.X.509証明書ファイルへのパス。この証明書は、IAM Roles Anywhereから一時的な資格情報を要求するIDを認証するために使用されます。
• - --private-key <agent_loc>\decrypted_private_key.pem.証明書に対応する復号されたプライベートキーへのパス。
• - --trust-anchor-arn <arn of trust anchor>IAM Roles Anywhereと認証局の間の信頼を確立するトラストアンカーのAmazonリソースネーム（ARN）。
• - --profile-arn <arn of profile>IAM Roles Anywhereで設定したプロファイルのARN。プロファイルは、引き受けることができるIAMロールや、発行された一時的なセキュリティ資格情報で実行できる操作を指定します。
• - --role-arn <arn of role>資格情報ヘルパーが引き受けるIAMロールのARN。
• - --session-duration <time in seconds>一時セッション資格情報が有効な期間。このパラメータはオプションです。
次の例は、資格情報プロファイルファイルを示しています:

[profile_name]
credential_process = <Secure Agent installation drirectory>\aws_signing_helper.exe credential-process --certificate <agent_loc>\certificate.pem --private-key <agent_loc>\decrypted_private_key.pem --trust-anchor-arn <arn of trust anchor> --profile-arn <arn of profile> --role-arn <arn of role> --session-duration <time in seconds>

資格情報プロファイルファイルのルール

• •資格情報プロファイルファイルは、Secure Agentマシン上にある必要があります。
• •資格情報プロファイルファイルには、.credentials拡張子が付いている必要があります。
• •資格情報プロファイルのパスを指定しない場合、Secure Agentはホームディレクトリの次のデフォルトの場所にある資格情報プロファイルファイルを使用します。
~/.aws/credentials
注:
Windowsでは、環境変数%UserProfile%を使用してホームディレクトリを参照できます。Unix系のシステムでは、環境変数$HOMEを使用できます。

Amazon S3への接続

始める前に

接続の詳細

認証タイプ

詳細設定

Amazon S3とのプライベート通信

KMSを使用したサーバーサイド暗号化

• •GenerateDataKey
• •DescribeKey
• •暗号化
• •復号化
• •ReEncrypt

プロキシサーバーの設定

• •Windowsの場合はSecure Agent Managerを使用し、Linuxの場合はシェルコマンドを使用してSecure Agentを設定します。
手順については、データ統合のヘルプの『基本操作Configure the proxy settings on Windows』にある、Configure the proxy settings on Linuxまたは
• •Secure Agentのプロパティで、DTMのJVMオプションを設定します。手順については、ナレッジベースの記事「Proxy server settings」を参照してください。

プロキシサーバーのバイパス

詳細モードでのプロキシサーバーのバイパス

1. 1proxy.iniファイルを編集し、NonProxyHostのプロパティにクラスタリージョンを設定します。
2. 2適切なリージョン名をプロパティに次の形式で入力します。
InfaAgent.NonProxyHost=localhost|127.*|[\:\:1]|169.254.169.254|.<REGION_NAME>.elb.amazonaws.com|*.<REGION_NAME>.elb.amazonaws.com
次の例は、proxy.iniファイルでの、米国西部リージョンの場合のNonProxyHostを更新する方法を示しています。
InfaAgent.NonProxyHost=localhost|127.*|[\:\:1]|169.254.169.254|.us-west-2.elb.amazonaws.com|*.us-west-2.elb.amazonaws.com|s3.us-west-2.amazonaws.com|*.s3.us-west-2.amazonaws.com|s3.amazonaws.com

3. 3proxy.iniファイルを編集したら、詳細クラスタのランタイムプロパティで、プロパティccs.enable.storage.proxy.settingsをfalseに設定する必要があります。
プロパティを設定するには、次の手順を実行します。
1. aAdministratorに移動します。
2. b［詳細クラスタ］ページで、編集する設定の名前を詳細設定のリストから選択します。
3. cプロパティccs.enable.storage.proxy.settingsをfalseに設定し、クラスタ設定を特定のクラスタの［ランタイムプロパティ］に保存します。
次の図は、設定したクラスタのランタイムプロパティを示しています。

IAMユーザー経由のAssumeRoleのルールとガイドライン認証

• •一時的なセキュリティ認証情報を要求するIAMユーザーまたはIAMロールは、AWSリソースへのアクセス権を持っていてはいけません。
• •認証済みIAMユーザーまたはIAMロールのみ、AWS Security Token Service（AWS STS）から一時セキュリティ資格情報を要求できます。
• •タスクを実行する前に、一時セキュリティ資格情報の有効期間が、そのタスクを実行するのに十分な長さであることを確認してください。実行中のタスクに対して、一時セキュリティ資格情報の有効期間を延長することはできません。
例えば、Amazon S3に対して読み取りと書き込みを行って、一時的なセキュリティ資格情報の有効期限が切れた場合、一時的なセキュリティ資格情報の期間を延長することはできないため、タスクが失敗します。
• •一時セキュリティ資格情報の有効期限が切れると、AWSは、その資格情報を使ったリソースへのアクセスをIAMユーザーまたはIAMロールに許可しません。マッピングで現在使用している一時セキュリティ資格情報の有効期限が切れる前に、新しい一時セキュリティ資格情報を要求する必要があります。
• •一時セキュリティ資格情報を使用するのに、AWSアカウントのルートユーザー資格情報を使用しないでください。一時セキュリティ資格情報を使用するには、IAMユーザーの資格情報を使用する必要があります。
• •マッピング内のソースとターゲットの両方が同じAmazon S3バケットを指している場合は、ソーストランスフォーメーションとターゲットトランスフォーメーションで同じAmazon S3接続が使用されます。異なる2つのAmazon S3接続を使用する場合は、両方の接続に対して接続プロパティで同じ値を設定します。
• •マッピング内のソースとターゲットが異なるAmazon S3バケットを指している場合、異なる2つのAmazon S3接続を使用できます。
両方の接続に対して、接続プロパティで異なる値を設定できます。ただし、接続プロパティで［ロールの引き受けにEC2ロールを使用］チェックボックスをオンにする必要があります。また、ソースプロパティとターゲットプロパティの［一時的な資格情報の期間］フィールドにも同じ値を指定する必要があります。
• •マッピングで、異なるIAMロールを持つ同じAmazon S3バケットに対して2つ以上のAmazon S3データソースを設定した場合、各IAMロールが他のIAMロールのデータソースにアクセスできるようにする必要があります。
• •2つのデータソースを持つマッピングで、一方のAmazon S3データソースはユーザー資格情報を使用するように設定し、もう一方のデータソースはIAMロールを使用するように設定する場合は、次のルールを考慮してください。
• - 最初のデータソースのIAMユーザーは、2番目のAmazon S3データソースのIAMロールを引き受けることもできるようにする必要があります。
• - 2番目のデータソース用に設定したIAMロールは、最初のAmazon S3データソースへのアクセス権を持つようにする必要もあります。

AWSリージョンのルールとガイドライン

• •既存の接続のランタイム環境を変更すると、リージョンはデフォルトのリージョンUS East (N. Virginia)に変更されます。リージョンを手動で選択して、デフォルトのリージョンを変更します。
• •既存の接続を編集すると、リージョンのエントリが重複して表示されます。これらのリージョンはAWSSDKから入力されるため、スペースを含むリージョンを使用します。例えば、US West (Oregon)ではなくUS West(Oregon)を使用します。

S3互換ストレージのルールおよびガイドライン

• •S3互換ストレージを使用する場合にのみ、基本認証を設定できます。
• •Scality RING S3互換ストレージにSSE-KMS暗号化を設定することはできません。MinIO S3互換ストレージにSSEおよびSSE-KMS暗号化を設定することはできません。
• •Amazon S3ソースからAmazon RedshiftにデータをロードするようにSQL ELTの最適化を設定することはできません。