概要
- 今回、S3 バケットのデータ格納時にサーバー側の暗号化を有効にする要件がありました。ALBアクセスログを有効化する際にハマったため、注意事項を紹介します。
- S3 の暗号化タイプには、「Amazon S3 マネージドキーを使用したサーバー側の暗号化 (SSE-S3)」がデフォルトですが、AWS KMS (Key Management Service)のカスタマーマネージドキーを作成し、「AWSS Key Management Service キーを使用したサーバー側の暗号化」を選択することができます。カスタマーマネージドキーを使用する場合、ユーザーがキーを管理でき、自動キーローテーションのカスタマイズも可能になります。
ALBアクセスログ有効化はS3暗号化に注意する
- 今回、S3 バケットの暗号化タイプには、以下の通り、「AWS Key Management Service キーを使用したサーバー側の暗号化 (SSE-KMS)」を使用しておりました。
- 上記環境において、ALB のアクセスログを有効化とし、S3 URI にカスタマーマネージドキーで暗号化されたS3 バケットを選択したところ、以下のエラーとなりました。
- Access Denied for bucket: バケット名. Please check S3bucket permission
- ALB のアクセスログには、AWS マネージドキーで暗号化されたS3 バケットを選択する必要があります。
- S3 バケットの暗号化タイプを変更後は、ALB のアクセスログを有効化することができました。
