翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

スケジュールされたクエリの S3 送信先の設定

スケジュールされたクエリ結果を長期的な保持と分析のために JSON ファイルとして保存する送信先として Amazon S3 を設定します。

Amazon S3 を送信先として使用すると、クエリ結果は指定されたバケットとプレフィックスに JSON ファイルとして保存されます。このオプションは、結果のアーカイブ、バッチ分析の実行、または S3 データを処理する他の AWS サービスとの統合に最適です。

クエリ結果は、スケジュールされたクエリと同じ AWS アカウントの Amazon S3 バケット、または別の AWS アカウントのバケットに配信できます。オプションで、カスタマーマネージド AWS KMS キー (SSE-KMS) を使用してクエリ結果を暗号化することもできます。

同じアカウントの Amazon S3 バケットに結果を配信する

送信先 Amazon S3 バケットがスケジュールされたクエリと同じ AWS アカウントにある場合、コンソールから直接バケットを参照して選択できます。

送信先配信 IAM ロールには、次のアクセス許可が必要です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::my-bucket/prefix/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        }
    ]
}

別のアカウントの Amazon S3 バケットに結果を配信する

スケジュールされたクエリ結果を別の AWS アカウントの Amazon S3 バケットに配信できます。クロスアカウントバケットを使用する場合は、Amazon S3 URI とバケット所有アカウントのアカウント ID を指定する必要があります。

クロスアカウント配信には、両側に対するアクセス許可が必要です。ソースアカウントの宛先配信 IAM ロールには、次のアクセス許可が必要です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::cross-account-bucket/prefix/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        }
    ]
}

送信先アカウントの Amazon S3 バケットポリシーは、オブジェクトを書き込むアクセス許可をソースアカウントの IAM ロールに付与する必要があります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowScheduledQueryRolePutObject",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/my-s3-delivery-role"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::cross-account-bucket/prefix/*"
        }
    ]
}

カスタマーマネージド AWS KMS キーによる結果の暗号化

オプションでカスタマーマネージド AWS KMS キーを指定して、SSE-KMS を使用して Amazon S3 に配信されるクエリ結果を暗号化できます。 AWS KMS キーは、スケジュールされたクエリと同じアカウントまたは別のアカウントにあることができます。

AWS KMS キーを指定すると、スケジュールされたクエリはそのキーを使用して SSE-KMS を介して結果を暗号化します。 AWS KMS キーを指定しない場合、バケットのデフォルトの暗号化設定が適用されます。バケットがカスタマーマネージドキーを使用したデフォルトの SSE-KMS 暗号化で設定されている場合、送信先配信 IAM ロールには引き続きそのキーに対するkms:GenerateDataKeyアクセス許可が必要です。

送信先配信 IAM ロールには、 AWS KMS キーに対する kms:GenerateDataKey アクセス許可が必要です。次の例は、カスタマーマネージド AWS KMS キーを持つ Amazon S3 送信先に必要なアクセス許可を示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::my-bucket/prefix/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "kms:GenerateDataKey",
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::my-bucket*"
                }
            }
        }
    ]
}

AWS KMS キーが送信先配信 IAM ロールとは異なるアカウントにある場合、 AWS KMS キー所有者アカウントのキーポリシーはロールに明示的にアクセスを許可する必要があります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowScheduledQueryRoleToEncrypt",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/my-s3-delivery-role"
            },
            "Action": "kms:GenerateDataKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::my-bucket*"
                }
            }
        }
    ]
}

Amazon S3 にクエリ結果を投稿するための IAM ロールは、スケジュールされたクエリ実行の IAM ロールとは別に設定する必要があります。この分離により、実行ロールがクエリを実行でき、Amazon S3 ロールが結果配信を特に処理するきめ細かなアクセスコントロールが可能になります。どちらのロールにも、CloudWatch Logs サービス (logs.amazonaws.com) がロールを引き受けることを許可する信頼ポリシーが含まれている必要があります。