s3tk

Amazon S3 のためのセキュリティツールキット

🍊 Instacart で実戦投入済み

インストール

以下を実行:

pip install s3tk

AWS CLI または AWS Vault を使用して AWS 認証情報を設定できます:

pip install awscli
aws configure

各コマンドに必要な IAM ポリシー を参照してください。

コマンド

スキャン

バケットをスキャンして以下を確認:

• ACL が公開設定になっている
• ポリシーが公開設定になっている
• 公開アクセスがブロックされている
• ログが有効になっている
• バージョニングが有効になっている
• デフォルトの暗号化が有効になっている

s3tk scan

特定のバケットのみ実行

s3tk scan my-bucket my-bucket-2

ワイルドカードでも動作

s3tk scan "my-bucket*"

正しいログバケットとプレフィックスを確認

s3tk scan --log-bucket my-s3-logs --log-bucket other-region-logs --log-prefix "{bucket}/"

CloudTrail オブジェクトレベルのログ記録をチェック [試験的]

s3tk scan --object-level-logging

ログ、バージョニング、またはデフォルトの暗号化をスキップ

s3tk scan --skip-logging --skip-versioning --skip-default-encryption

障害発生時にメール通知を受け取る（SNS 経由）

s3tk scan --sns-topic arn:aws:sns:...

ポリシーの一覧表示

バケットポリシーを一覧表示

s3tk list-policy

特定のバケットのみ実行

s3tk list-policy my-bucket my-bucket-2

名前付きステートメントを表示

s3tk list-policy --named

ポリシーの設定

注意: これにより以前のポリシーは置き換えられます

プライベートアップロードのみ許可

s3tk set-policy my-bucket --no-object-acl

ポリシーの削除

ポリシーを削除

s3tk delete-policy my-bucket

公開アクセスのブロック

特定のバケットで公開アクセスをブロック

s3tk block-public-access my-bucket my-bucket-2

テストするには --dry-run フラグを使用

ログの有効化

すべてのバケットでログを有効化

s3tk enable-logging --log-bucket my-s3-logs

特定のバケットのみ

s3tk enable-logging my-bucket my-bucket-2 --log-bucket my-s3-logs

ログプレフィックスを設定（デフォルトは {bucket}/）

s3tk enable-logging --log-bucket my-s3-logs --log-prefix "logs/{bucket}/"

テストするには --dry-run フラグを使用

ログ記録に関する注意点:

• すでにログが有効になっているバケットは更新されません
• ログバケットはソースバケットと同じリージョンにある必要があります - リージョンごとにこのコマンドを複数回実行してください
• ログが表示されるまでに1時間以上かかる場合があります

バージョニングの有効化

すべてのバケットでバージョニングを有効化

s3tk enable-versioning

特定のバケットのみ

s3tk enable-versioning my-bucket my-bucket-2

テストするには --dry-run フラグを使用

デフォルト暗号化の有効化

すべてのバケットでデフォルト暗号化を有効化

s3tk enable-default-encryption

特定のバケットのみ

s3tk enable-default-encryption my-bucket my-bucket-2

これにより既存のオブジェクトは暗号化されません。その場合は encrypt コマンドを使用してください

テストするには --dry-run フラグを使用

オブジェクト ACL のスキャン

バケット内のすべてのオブジェクトの ACL をスキャン

s3tk scan-object-acl my-bucket

特定のオブジェクトのみ

s3tk scan-object-acl my-bucket --only "*.pdf"

特定のオブジェクトを除外

s3tk scan-object-acl my-bucket --except "*.jpg"

オブジェクト ACL のリセット

バケット内のすべてのオブジェクトの ACL をリセット

s3tk reset-object-acl my-bucket

これによりすべてのオブジェクトがプライベートになります。今後適用する方法についてはバケットポリシーを参照してください

テストするには --dry-run フラグを使用

特定のオブジェクトの指定方法はオブジェクト ACL のスキャンと同じ

暗号化

バケット内のすべてのオブジェクトをサーバーサイド暗号化で暗号化

s3tk encrypt my-bucket

デフォルトでは S3 管理キー を使用します。KMS 管理キー を使用する場合:

s3tk encrypt my-bucket --kms-key-id arn:aws:kms:...

顧客提供キー を使用する場合:

s3tk encrypt my-bucket --customer-key secret-key

テストするには --dry-run フラグを使用

特定のオブジェクトの指定方法はオブジェクト ACL のスキャンと同じ

注意: オブジェクトはカスタム ACL を失います

暗号化されていないバージョンの削除

バケット内の暗号化されていないオブジェクトのバージョンをすべて削除

s3tk delete-unencrypted-versions my-bucket

安全性のため、現在のバージョンのオブジェクトは削除されません

テストするには --dry-run フラグを使用

特定のオブジェクトの指定方法はオブジェクト ACL のスキャンと同じ

DNS スキャン

Route 53 をスキャンしてバケットを所有していることを確認

s3tk scan-dns

そうしないと、サブドメイン乗っ取りに対して脆弱になる可能性があります

認証情報

認証情報は ~/.aws/credentials または環境変数で指定できます。環境変数の説明についてはこのガイドを参照してください。

使用するプロファイルを指定:

AWS_PROFILE=your-profile s3tk

IAMポリシー

各コマンドに必要な権限は以下の通りです。必要なステートメントのみを含めてください。