S3バケットにおけるクロスリージョンレプリケーションの有効化について

2025.08.15

このブログシリーズ 「クラウドセキュリティ 実践集」 では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」 というリスクの解説から、「どうやって直すのか？」 という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

今回は、Amazon S3バケットでクロスリージョンレプリケーション (CRR) が有効化されていない状態について、そのリスクと対策を解説します。

ポリシーの説明

Amazon S3 の Security Hub コントロール – AWS Security Hub

[S3.7] S3 汎用バケットでクロスリージョンレプリケーションを使用する必要があります

このコントロールは Amazon S3 バケット 汎用バケットでクロスリージョンレプリケーションが有効かどうかをチェックします。バケットでクロスリージョンレプリケーションが有効になっていない場合、このコントロールは失敗します。

リスク

Amazon S3 (Simple Storage Service) は、オブジェクトストレージサービスであり、ウェブサイトのホスティング、データバックアップ、アーカイブなど多岐にわたる用途で利用されます。S3はデフォルトで高い可用性と耐久性を提供しますが、これは単一のAWSリージョン内での話です。クロスリージョンレプリケーション (CRR) を有効化しない場合、以下のような重大なリスクが発生します。

  • リージョン全体にわたる障害に対する脆弱性: ごくまれではありますが、自然災害、広範囲にわたる電力供給の問題、または大規模なネットワーク障害などにより、特定のAWSリージョン全体が利用できなくなる可能性があります。CRRが有効化されていない場合、このリージョン内のS3バケットに保存されているデータは、アクセス不能になり、ビジネスが完全に停止する可能性があります。
  • データ損失のリスク増大: CRRは、意図しないデータの削除や変更（誤操作など） に対するリカバリーメカニズムとしても機能します。例えば、あるリージョンで誤ってオブジェクトが削除された場合、レプリケーション先のリージョンにはまだデータが残っているため、そこからデータを復元できる可能性があります。CRRがない場合、この種のデータ損失に対して脆弱になります。
  • 低レイテンシーアクセスへの非対応: グローバルに展開するアプリケーションでは、ユーザーに最も近いリージョンからコンテンツを配信することで、レイテンシーを低減し、ユーザーエクスペリエンスを向上させることが重要です。CRRは、異なるリージョンのユーザーが自らに近い場所からデータにアクセスできるようにし、パフォーマンスを改善する手段となります。
  • 監査証跡の欠如: CRRは、データのライフサイクルと変更履歴を追跡するための重要な機能でもあります。レプリケーションが有効になっていないと、主要な監査証跡が失われる可能性があります。

対策

S3バケットでクロスリージョンレプリケーション (CRR) を有効化することは、上記のすべてのリスクを軽減し、データの可用性、耐久性、および回復力を大幅に強化するための重要なベストプラクティスです。

  • データの冗長性と回復力の向上: ソースバケットのオブジェクトを、地理的に離れた別のAWSリージョンのターゲットバケットに自動的に複製します。これにより、ソースリージョンで障害が発生した場合でも、ターゲットリージョンからデータにアクセスし、ダウンタイムとデータ損失を最小限に抑えることができます。
  • 意図しない削除からの保護: S3のバージョン管理機能を有効にし、レプリケーションルールと組み合わせることで、オブジェクトの削除や上書きを別のリージョンにレプリケートしないように設定できます。これにより、誤操作によるデータ損失を効果的に防ぐことができます。
  • パフォーマンスの向上: グローバルなユーザーベースを持つアプリケーションでは、ユーザーに最も近い場所にあるS3バケットからコンテンツを配信することで、レイテンシーを低減できます。
  • シンプルな設定と管理: 一度設定してしまえば、以降はS3が自動的にレプリケーションを処理します。新しいオブジェクトやオブジェクトの更新も自動的に複製され、管理の手間はほとんどかかりません。

修復方法

AWSコンソールでの修復手順

AWSコンソールを使用して、S3バケットでクロスリージョンレプリケーションを設定します。

前提:

  • レプリケーションのソースとなるS3バケットと、ターゲットとなるS3バケットが、それぞれ異なるAWSリージョンに存在すること。
  • ソースバケットとターゲットバケットの両方で、バージョン管理が有効になっていること。
  1. S3サービスへ移動: AWSコンソールにログインし、S3 サービスを開きます。
  2. ソースバケットを選択: レプリケーションのソースとなるバケットを選択します。
  3. 「管理」タブへ移動: バケットの詳細ページで「管理」タブをクリックします。
  4. レプリケーションルールの作成:
    • 「レプリケーションルール」セクションまでスクロールし、「レプリケーションルールを作成」をクリックします。
  5. レプリケーションルールの設定:
    • ソースバケット:
      • ルール名を入力します。
      • ステータスを「有効」に設定します。
      • ルールスコープ: レプリケーションするオブジェクトの範囲を選択します。「すべてのオブジェクト」または特定のプレフィックスを持つオブジェクトを選択できます。
    • ターゲットバケット:
      • 「ターゲットの指定」で、レプリケーション先のリージョンと、そこに存在するターゲットバケットを選択します。
    • IAMロールの作成:
      • 「IAMロール」で、「IAMロールを作成」を選択し、S3にレプリケーションを実行する権限を付与するIAMロールを自動で作成させます。
    • 暗号化オプション (オプション):
      • ソースバケットがKMSで暗号化されている場合、レプリケーション設定でそのキーを指定する必要があります。
    • 追加オプション (任意):
      • レプリカの所有権変更: ターゲットバケットのレプリカの所有者を変更する設定。レプリケーションタイム制御: 99.9%のオブジェクトを15分以内にレプリケーションする保証が必要な場合に有効化します。
  1. ルールの保存: 設定内容を確認し、「保存」をクリックします。
    • ルールが作成され、レプリケーションが開始されます。既存のオブジェクトは、必要に応じてバッチレプリケーションジョブを別途作成することで複製できます。

Terraformでの修復手順

TerraformでAmazon S3バケットのクロスリージョンレプリケーションを有効にするには、aws_s3_bucket_replication_configuration リソースを使用し、適切なIAMロールとバケットバージョン管理を組み合わせます。

# (前提) ソースバケットとターゲットバケット、IAMロールは別途定義
# S3 バージョン管理の有効化 (レプリケーションの前提条件)
resource "aws_s3_bucket_versioning" "source_bucket_versioning" {
  bucket = aws_s3_bucket.source_bucket.id
  versioning_configuration {
    status = "Enabled"
  }
}

resource "aws_s3_bucket_versioning" "target_bucket_versioning" {
  bucket = aws_s3_bucket.target_bucket.id
  versioning_configuration {
    status = "Enabled"
  }
}

# レプリケーション用の IAM ロールとポリシー
resource "aws_iam_role" "s3_replication_role" {
  name = "s3-replication-role"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Principal = {
          Service = "s3.amazonaws.com"
        }
        Action = "sts:AssumeRole"
      }
    ]
  })
}

resource "aws_iam_role_policy" "s3_replication_policy" {
  name = "s3-replication-policy"
  role = aws_iam_role.s3_replication_role.id

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = [
          "s3:GetReplicationConfiguration",
          "s3:ListBucket"
        ]
        Resource = [aws_s3_bucket.source_bucket.arn]
      },
      {
        Effect = "Allow"
        Action = [
          "s3:GetObjectVersion",
          "s3:GetObjectVersionTagging"
        ]
        Resource = ["${aws_s3_bucket.source_bucket.arn}/*"]
      },
      {
        Effect = "Allow"
        Action = [
          "s3:ReplicateObject",
          "s3:ReplicateDelete",
          "s3:ReplicateTags"
        ]
        Resource = ["${aws_s3_bucket.target_bucket.arn}/*"]
      }
    ]
  })
}

# クロスリージョンレプリケーションの設定
resource "aws_s3_bucket_replication_configuration" "crr" {
  role   = aws_iam_role.s3_replication_role.arn
  bucket = aws_s3_bucket.source_bucket.id

  rule {
    id     = "replicate-all"
    status = "Enabled"

    filter {
      prefix = "" # 全てのオブジェクトを対象とする
    }

    destination {
      bucket = aws_s3_bucket.target_bucket.arn
      storage_class = "STANDARD" # レプリケーション先のストレージクラス (オプション)
    }
  }
}

# ソースバケット (ap-northeast-1)
resource "aws_s3_bucket" "source_bucket" {
  provider = aws.ap_northeast_1
  bucket = "my-source-bucket-2025" # グローバルに一意なバケット名
}
# ターゲットバケット (us-east-1)
resource "aws_s3_bucket" "target_bucket" {
  provider = aws.us_east_1
  bucket = "my-target-bucket-2025" # グローバルに一意なバケット名
}

# プロバイダーの定義
provider "aws" {
  alias  = "ap_northeast_1"
  region = "ap-northeast-1"
}
provider "aws" {
  alias  = "us_east_1"
  region = "us-east-1"
}

上記のTerraformコードでは、aws_s3_bucket_replication_configuration リソースを使用してクロスリージョンレプリケーションを有効にしています。

  • aws_s3_bucket_versioning: レプリケーションの前提条件として、ソースとターゲットの両方のバケットでバージョン管理を有効にします。
  • aws_iam_role と aws_iam_role_policy: S3がレプリケーションを実行するために必要な権限を持つIAMロールを作成します。このロールは、ソースバケットからの読み取りと、ターゲットバケットへの書き込みを許可する必要があります。
  • aws_s3_bucket_replication_configuration:
    • role: 上記で作成したIAMロールのARNを指定します。
    • bucket: レプリケーションのソースとなるバケットを指定します。
    • rule: レプリケーションルールの設定を行います。status = "Enabled"で有効化し、destinationブロックでターゲットバケットを指定します。filterで特定のプレフィックスを持つオブジェクトのみを対象にすることもできます。
  • providerブロック: 異なるリージョンにバケットを作成するため、aliasを使って複数のプロバイダーを定義します。

my-source-bucket-2025 や my-target-bucket-2025 などのプレースホルダーは、実際の環境に合わせて修正してください。

最後に

この記事では、Amazon S3バケットでクロスリージョンレプリケーションを有効にすることの重要性について解説しました。この設定は、単一リージョン障害からの保護、データ損失リスクの低減、パフォーマンスの向上、およびコンプライアンス要件の遵守に不可欠です。 貴社のS3バケットは、地理的に離れた場所にレプリケートされていますか？この機会にぜひ設定を確認・強化してみてください。 こちらの内容の検出は弊社が提供するSecurifyのCSPM機能で簡単に検出及び管理する事が可能です。運用が非常にラクに出来る製品になっていますのでぜひ興味がある方はお問い合わせお待ちしております。

最後までお読みいただきありがとうございました。この記事が皆さんの役に立てば幸いです。

この記事をシェアする

クラウドセキュリティ対策実践集一覧へ戻る

貴社の利用状況に合わせた見積もりを作成します。

見積もりを希望する
資料ダウンロード

料金プランを詳しく見る