S3 セキュリティ・ライフサイクル ハンズオン

「S3」→「バケットを作成」 をクリックします。

「バケットを作成」をクリックします。

「アクセス許可」タブの 「パブリックアクセスをすべてブロック」 の 4 項目を確認します。これがオンの間は、たとえバケットポリシーで "Principal": "*" を許可しても公開されません（安全弁）。

「アクセス許可」→「バケットポリシー」→「編集」で以下を貼り付けます。HTTP（非暗号化）通信を拒否する典型的なポリシーです。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyInsecureTransport",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::handson-sec-src-xxxx",
        "arn:aws:s3:::handson-sec-src-xxxx/*"
      ],
      "Condition": {
        "Bool": { "aws:SecureTransport": "false" }
      }
    }
  ]
}

「プロパティ」タブ →「バケットのバージョニング」→「編集」→ 「有効にする」 を選択して保存します。

「オブジェクト」一覧で「バージョンを表示」をオンにすると、v1 と v2 の 2 つのバージョンが見えます。

オブジェクトを削除すると 削除マーカー が付くだけで実体は残ります。削除マーカーを消すと元に戻ります。

「管理」タブ →「ライフサイクルルール」→「ライフサイクルルールを作成」をクリックします。

「ルールを作成」をクリックします。

別リージョン（例: 大阪 ap-northeast-3）に handson-sec-dst-xxxx を作成します。バージョニングを有効化しておきます（レプリケーションの必須条件）。

ソースバケット handson-sec-src-xxxx →「管理」→「レプリケーションルール」→「レプリケーションルールを作成」をクリックします。

「保存」をクリックします。「既存オブジェクトのレプリケート」を問われたら、今回は新規オブジェクトのみで OK です。

ログ保存用バケット handson-sec-log-xxxx を作成し、ソースバケットの「プロパティ」→「サーバーアクセスのログ記録」→「編集」で有効化、ログ先に作成したバケットを指定します。

オブジェクトレベルの API（GetObject / PutObject）を確実に記録したい場合は CloudTrail の データイベント を有効にします。「誰が・いつ・どの IP から」アクセスしたかを追跡できます。

ポータルの「S3 + Athena + Firehose」ハンズオンと連携し、アクセスログを Athena でクエリすると、アクセス元 IP やリクエスト数を集計できます。