S3バケットのパブリックアクセスブロック設定手順

2025.09.05

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、S3バケットのパブリックアクセスブロック設定について、リスクと対策を解説します。

ポリシーの説明

S3バケットのパブリックアクセスブロック機能は、意図しないパブリック公開を防ぐための重要なセキュリティ機能です。この機能には4つの設定項目があり、それぞれが異なる側面からパブリックアクセスを制御します：

BlockPublicAcls: 新しいパブリックACLの設定をブロック（PUT Object acl や PUT Bucket acl APIを拒否）
IgnorePublicAcls: 既存のパブリックACLを無視（既存のパブリックACLがあってもアクセスを拒否）
BlockPublicPolicy: 新しいパブリックバケットポリシーの設定をブロック（PUT Bucket policy APIを拒否）
RestrictPublicBuckets: パブリックポリシーを持つバケットへのクロスアカウントアクセスをAWSサービスプリンシパルと承認されたアカウントに制限

重要な変更点：

これらの設定を適切に有効化することで、S3バケットへの意図しないパブリックアクセスを効果的に防止できます。

AWSのコンソールを使用して、S3バケットのパブリックアクセスブロックを設定します。

バケットレベルの設定手順：

AWS Management ConsoleにサインインしてS3コンソール（https://console.aws.amazon.com/s3/）にアクセス
左側のナビゲーションペインから「バケット」を選択し、対象のバケット名をクリック
「アクセス許可」タブを選択
「ブロックパブリックアクセス（バケット設定）」セクションで「編集」ボタンをクリック
以下の4つのオプションすべてにチェックを入れる：
- 「新しいアクセスコントロールリスト（ACL）を介して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする」
- 「任意のアクセスコントロールリスト（ACL）を介して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする」
- 「新しいパブリックバケットポリシーまたはアクセスポイントポリシーを介して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする」
- 「任意のパブリックバケットポリシーまたはアクセスポイントポリシーを介したバケットとオブジェクトへのパブリックアクセスとクロスアカウントアクセスをブロックする」
「変更の保存」をクリック
確認画面で「confirm」と入力して変更を確定