AWS4 択難易度 標準

AWS アカウントを持たない相手に、1 つのファイルを期限付きで渡したい。適切な方法は？

正答

1. バケットを公開して URL を渡す
2. 署名付き URL を発行して渡す
3. IAM ユーザーを作って認証情報を渡す
4. 自分のアクセスキーを一時的に貸す

解説

署名付き URL は、自分の権限で特定のオブジェクトへのアクセスを期限付きで許可する URL。受け取った側は AWS の認証情報がなくても、その URL でその 1 つのオブジェクトだけを取得できる。バケットを公開すると他のファイルまで誰でも見られる状態になり、やりすぎ。IAM ユーザーを作って渡すと管理対象が増え、相手が不要な操作をできる恐れもある。自分のアクセスキーを貸すのは、本人として何でもできる鍵を渡す行為で最も危険。

参考: docs.aws.amazon.com

s3presigned-urlsecurity