概要

  • 今回、S3 バケットのデータ格納時にサーバー側の暗号化を有効にする要件がありました。ALBアクセスログを有効化する際にハマったため、注意事項を紹介します。
  • S3 の暗号化タイプには、「Amazon S3 マネージドキーを使用したサーバー側の暗号化 (SSE-S3)」がデフォルトですが、AWS KMS (Key Management Service)のカスタマーマネージドキーを作成し、「AWSS Key Management Service キーを使用したサーバー側の暗号化」を選択することができます。カスタマーマネージドキーを使用する場合、ユーザーがキーを管理でき、自動キーローテーションのカスタマイズも可能になります。

 

ALBアクセスログ有効化はS3暗号化に注意する

  • 今回、S3 バケットの暗号化タイプには、以下の通り、「AWS Key Management Service キーを使用したサーバー側の暗号化 (SSE-KMS)」を使用しておりました。

 

  • 上記環境において、ALB のアクセスログを有効化とし、S3 URI にカスタマーマネージドキーで暗号化されたS3 バケットを選択したところ、以下のエラーとなりました。
    • Access Denied for bucket: バケット名. Please check S3bucket permission

 

  • ALB のアクセスログには、AWS マネージドキーで暗号化されたS3 バケットを選択する必要があります。
  • S3 バケットの暗号化タイプを変更後は、ALB のアクセスログを有効化することができました。