S3 に格納されるオブジェクトのコンテナ。すべてのオブジェクトはバケット内に格納される。 バケットへのアップロードは書き込みアクセス許可が必要。

• AWSユーザーの正規ID
  他のAWSアカウントにアクセスを許可するために必要

[s3 Sync コマンド]
S3バケット間でデータを同期するために使用される。
※EFSやFSx for Windows File Server を転送先としてサポートしていない

S3 に格納される基本エンティティ(ファイルデータ)。オブジェクト(ID)データとメタデータで構成される。キー (名前) とバージョン ID によってバケット内で一意に識別される。オブジェクト所有者はオブジェクトのアクセスコントロールリスト（ACL）を更新することによって、バケット所有者にオブジェクトのフルコントロールを付与できる。

・ファイルが保存されるグループに対して、それぞれにセキュリティーポリシーを適用する

[オブジェクトの取得方法]

• 1 回で取得
  Amazon S3 に格納されているオブジェクトを 1 回の GET オペレーションで取得。
  
• オブジェクトを複数回に分けて取得
  GET リクエストの Range HTTP ヘッダーを使用すると、 S3 に格納されているオブジェクトの特定のバイト範囲を取得できる。アプリケーションの準備ができた時点でいつでも残り部分の取得を再開でき、この再開可能なダウンロードは、オブジェクトデータの一部だけが必要な場合に便利。また、ネットワーク接続の状態が悪く、障害に対処する必要がある場合にも役立つ。

[オブジェクトのアップロード方法]

AWS SDK、REST API、または AWS CLI を使用して、
・1 回のオペレーションでオブジェクトをアップロード。
※1回のPUTオペレーションで、最大 5 GB の単一のオブジェクトをアップロード可能

マルチパートアップロード API を使用すると、最大 5 TB のサイズの単一の大容量オブジェクトをアップロード可能。

・Amazon S3 コンソールを使用して 1 つのオブジェクトをアップロード。
※Amazon S3 コンソールでは、最大 160 GB のオブジェクトをアップロード可能

・オブジェクト格納成功時、【HTTPステータスコード２００】を返す。

バケット内のオブジェクト固有の識別子。バケット内のすべてのオブジェクトは、厳密に 1 個のキーを持つ。

※バケットポリシーでは、プリンシパルとして対象のアカウントIDが使用するIAMロールを指定してアクセス許可を付与することができる。

●ACL

バケットとオブジェクトへのアクセスを管理できる。各バケットとオブジェクトには、サブリソースとして ACL がアタッチされている。これにより、アクセスが許可される AWS アカウントまたはグループとアクセスの種類を定義。リソースに対するリクエストを受信時、S3 は該当する ACL を調べて必要なアクセス許可がリクエスタにあることを確認する。

[（バケットの）アクセス許可を付与する]

AWSユーザーの正規ID を設定することで対応可能。

[種類]

• Bucket ACL
  手軽に基本的なアクセス権（バケット及び個々のオブジェクトへのアクセス権の設定）許可のみであり拒否はなし。
• Object ACL
  オブジェクト単位で制御したいときに向いている。
  [指定バケット > アクセス権限 > アクセスコントロールリスト],[指定オブジェクト > アクセス権限]

●バケットポリシー

【S3への高度なアクセス制御を実施する】
S3オブジェクトへのアクセス許可。バケット単位でIAMユーザやグループのアクセス権、他のAWS アカウントを指定することが可能。BucketPolicyの方が強いが、設定されていない場合は、ACLによって制御される。

・サーバー側の暗号化を必要としないオブジェクトのアップロードを拒否できる
・バケットにアクセス権を付けただけではアクセスできないため、オブジェクトへのアクセス許可も必要。

[エレメント]

• プリンシパル(Principal)
  Principalエレメントは、リソースへのアクセスを許可または拒否するユーザー、アカウント、サービス、または他のエンティティを指定。
  [参考公式サイト]

●ユーザー（IAM）ポリシー

別のAWSアカウントに自分が所有するS3バケットへのアクセス利用を許可したい時、バケットポリシー及びユーザーポリシーの 両方の許可設定が必要（特定のIAMユーザー、IAMロールだけ操作できるようにしたいとき）。レプリケーションを実施するためには、両方のS3バケットにおいてバージョン管理を有効化。

●被付与者

AWS アカウント または事前定義済みのいずれかの Amazon S3 グループ。
E メールアドレスまたは正規ユーザー ID を使用。AWS アカウント にアクセス許可を付与。ただし、付与のリクエストでメールアドレスを指定すると、Amazon S3 はそのアカウントの正規ユーザー ID を確認して ACL に追加する。その結果、ACL には AWS アカウント の E メールアドレスではなく、常に AWS アカウント の正規ユーザー ID が含まれる。

※IA はinfrequent access (低頻度アクセス) の略

★トピック「暗号化」にて記載

★Content-MD5 ヘッダーの役割と使用方法 / オブジェクトの整合性検証

[Content-MD5 ヘッダーの目的]

• Content-MD5 は、アップロード時のデータ整合性を検証するためのチェックサム。
• オペレーション（PUT、POST、COPYなど）で送信されたデータが、Amazon S3 に正しく保存されたかを確認する。
• エラーが発生した場合、Amazon S3 はリクエストを拒否し、整合性が保証されない。

[オブジェクトの整合性検証方法]

• オブジェクトの ETag（通常は MD5 ダイジェスト）を使って、アップロード後に整合性を確認できる。
• マルチパートアップロードでは、ETag は複数パートの組み合わせで生成されるため、ETag ≠ Content-MD5 になる。
• オブジェクトをダウンロード後、ローカルで MD5 を計算し、ETag と比較することで整合性を確認可能。

[注意点]

• Content-MD5 を使用する場合、Base64 エンコードされた MD5 ダイジェストをヘッダーに含める必要がある。
• ETag が MD5 であるとは限らず、暗号化やマルチパートアップロードでは異なる形式になる。

●静的Webホスティング機能

バケットに格納した静的なファイルをウェブサイトとして公開することができる機能。

●S3イベント

「新しいオブジェクトの作成イベント」,「オブジェクト削除イベント」,「オブジェクト復元イベント」,「低冗長化ストレージ (RRS)。 オブジェクト消失イベント」,「レプリケーションイベント」発生時、イベントを通知発行する。

・S3へのアクションをトリガーにLambdaを呼び出すことができる。
[引用元サイト]

[S3のイベント発行トリガー]
①Amazon SNSトピック：S3をトリガーとしてメールなどを通知できる。
②Amazon SQSキュー：S3をトリガーとしてStandardキューを配信できる。
③AWS Lambda：Lambda関数を作成時、カスタムコードをパッケージ化してLambdaにアップロード。S3をトリガーにLambda関数を実行できる。

●S3アクセスポイント

S3 の共有データセットへの大規模なデータアクセスの管理を簡素化する機能。アクセスポイントはバケットにアタッチされた名前付きのネットワークエンドポイントで、S3 オブジェクトのオペレーション (GetObject や PutObject など) を実行するために使用できる。。同時書き込みのオブジェクトロックはサポートしない。2020年12月まで、結果整合性モデルを主だったが、現在は強い結果整合性モデル。
（アクセス制御に役立つが、プライベート接続の確立には不十分）

※VPCエンドポイントの接続先として利用されることもある

[引用元サイト]

●S3 アダプター

プログラムによるデータ転送とデータ転送を行うことができル。AWS Snowball EdgeAmazon S3 REST API アクションを使用するデバイス。AWS Snowball Edge デバイスにデータを転送する方法として利用される。

●ストレージクラス分析

ストレージアクセスパターンを分析し、適切なデータを適切なストレージクラスに移行すべきタイミングを判断できる。フィルタリングされたデータセットのアクセスパターンを一定期間監視することで、ライフサイクルポリシーを設定することができる。

●S3 Object Lambda アクセスポイント

S3オブジェクトにアクセスする際にLambda関数を使ってデータを動的に加工・変換できる仕組み。通常のS3 GET、HEAD、LISTリクエストに対して、カスタムコードを挟むことが可能。これにより、オブジェクトの内容やメタデータを動的に変更して返すことができる。

生データを直接変更することなく、各アプリケーション固有の処理要件に合わせたデータの動的変換が可能になる。

[主な用途]

• 画像の動的リサイズ（例：レスポンシブ対応）
• 機密情報のマスキング（例：個人情報の除去）
• CSVやJSONのフィルタリング（例：特定行だけ返す）
• カスタムビューの生成（LISTリクエストで特定条件のオブジェクトだけ表示）

●403 Access Denied
オブジェクトは存在するが、そのオブジェクトの読み取りアクセス許可が付与されていない。

[考えられる要因]
・リクエスタ支払いバケットに関するリクエストがすべて認証されていない場合、アクセスできない
・S3バケットからS3ブロックパブリックアクセスのオプションを削除していない

●S3 glacier Select

S3 Graicerの保存データの参照。

●S3 Glacierボールト

保存時にSSLで実施。サーバー側ネイティブで暗号化される。キー管理とキー保護が自動的に行われ、AES-256が使用される。

・初期化を必要としない
・ディスクの縮小は不可
・書き込みのスループットが高いアプリケーションに適する。[IOPS最大割合（GiB単位）500：1]
・他のリージョンにコピー可能（スナップショットから作成する）
・EBSボリュームが作成されるとすぐに最大パフォーマンスを発揮。
・セキュリティグループによる保護は対象外(全ポートを閉じても利用可能)
・NFSv4 プロトコルは利用していない
・保存世代や世代数は無制限
・RAID5,RAID6構成はIOPSがパリティ書き込みによって消費されるため推奨されない(RAID構成はRAID0 , RAID1)

・複数のインスタンスを対象に接続はできない(他のインスタンスへ付け替えは可能)
・AZは跨げない(EBSマルチアタッチ：AZ内の複数のインスタンスにアタッチできる)
・インスタンスに EBSボリュームをアタッチ後に任意のファイルシステムでボリュームをフォーマットしてからマウントすることが必要

• DeleteOnTermination
  属性を使用すると、EC2インスタンスが削除されても接続されたEBSとデータは保持される。

スナップショットによる、増分バックアップ。スナップショット中は読み書きが可能。
※EBSのスナップショットをS3にコピーすることはできない。

●EBS高速スナップショット復元機能

通常のスナップショット復元で発生するブロックの初回アクセス時におけるI/Oオペレーションのレイテンシーがなくなる。

●Data Lifecycle Manager (Amazon DLM)

EBSのバックアップであるスナップショットの作成、保存、削除を自動化。
また、スナップショットの管理に必要な許可を得るためには、IAMロールを使用する。
※リージョン間でコピーすることができる

●クロスリージョンコピー機能

一度作成するだけで、EBSスナップショットを少なくとも2つのリージョンへ毎日自動複製できる。

[SSD]

[HDD]

[EBS ボリューム拡張方法]

1. EC2コンソールまたはCLIからEBSボリュームのサイズを増やす。
2. オペレーティングシステムにマウントされたボリュームのファイルを拡張して、追加したストレージ容量をしようする。

EBSボリュームやスナップショット作成時、KMSのCMKを使用して暗号化。

●EBS Encryption

EBSストレージ間でのデータ保存と転送中のデータの両方のセキュリティを暗号化し保証する。
ただし、新規作成されるボリュームに対してのみである。
※既存ボリュームの暗号化はConfigやEventBridgeなどを利用して暗号化すること

[ボリューム内の保存データも可能]

現世代のすべてのインスタンスタイプ、旧世代のインスタンスタイプ A1、C3、cr1.8xlarge、G2、I2、M3、R3 で使用可能。暗号化処理はインスタンスが稼働するホストで実施される（ストレージ自体の暗号化）。ボリュームから取得したスナップショットも暗号化は適用される（スナップショット数：デフォルト最大100,000）。スナップショットは基本的に自動的にS3に保存される。

[既存EBSボリュームを暗号化する手順]

1. 既存EBSボリュームのスナップショットを取得
2. 取得したスナップショットを、[EBS暗号化] を有効化しコピー
3. コピーしたスナップショット(暗号化済み)から EBS ボリュームを作成
4. EC2インスタンスから既存EBSボリュームをデタッチする
5. EC2インスタンスに作成した EBSボリューム(暗号化済み)をアタッチする

・競合することなく部分的な変更もできる。
・大規模で並列の共有アクセスできる設計。
・アクセス頻度の低いストレージクラスに適している。
・強い整合性やファイルのロックなど が用意されている。
・インスタンス間で共有ストレージを頻繁に読み取ることができる。

※Windowsファイルサーバーはサポート外

[利用メリット]

・EFSの高可用性・スケーラビリティを活用可能
・Pod間でファイルを共有できる
・ステートフルなアプリに最適

[アプリケーション処理]

高レベルのスループットとIOPSを一定の低レイテンシーで実施。
中断することなく、ファイルの追加や削除に合わせて、自動的にペタバイトのオンデマンドにストレージ容量の拡張や縮小する。

[主なポイント]

●（推奨）EFSリージョナルファイルシステム

複数のAZにわたってデータを保存したりすることで、高レベルの耐久性と可用性を実現する。

●EFS One Zone

1つのAZ内にデータを冗長的に格納する。そのため、耐久性、可用性に脆弱性がある。

・汎用パフォーマンスモード（基本)
・最大I/Oパフォーマンスモード
・スループットモード
・バーストスループットモード
・プロビジョニングスループットモード

プロビジョンドスループット
ファイルシステムが駆動できるスループットのレベルを指定する

EFSデータの保護と復元が柔軟かつ効率的に行えるよう設計されている。

●for Windows
ファイルシステム当たり最大 2 GB/秒のスループット、数百万のIOPS、一貫したミリ秒未満のレイテンシーという高速パフォーマンスが実現可能な高性能なストレージ。
・HDDからSSDに変更することはできない

●for Lustre
ハイパフォーマンスコンピューティングなどで高速ストレージを必要とするアプリケーション向けに設計されている。Lustre ファイルシステムを簡単かつ費用効果の高い方法で起動して実行する。

※Lustre ファイルシステム
高速ストレージを必要とするアプリケーション向けに設計されており、ストレージがコンピューティングに対応できるように設計されている。リ秒未満のレイテンシー 最大数百 Gbps のスループット、および最大数百万のIOPS を提供。

●for OpenZFS
OpenZFS ファイルシステム上に構築され、NFS プロトコル (v3、v4、v4.1、および v4.2) を介してアクセスできるフルマネージド共有ファイル。

●for NetApp ONTAP
AWS 上でフルマネージドの NetApp ONTAP ファイルシステムを提供するストレージサービス。オンプレミスの NetApp 環境と同様の機能・API をクラウドで利用可能。
・NFS、SMB、iSCSI などの業界標準プロトコルに対応
・Linux、Windows、macOS からの広範なアクセスをサポート
・スナップショット、クローン、レプリケーション などの高度なデータ管理機能を簡単に利用可能
・圧縮・重複排除 によるストレージコスト削減
・フルエラスティックで実質無制限のストレージ容量

[(for NetApp ONTAP)SnapMirror によるレプリケーション概要]

• スケジュールされたレプリケーションによるデータ保護
  ・FSx for ONTAP 間、またはオンプレミスから AWS への定期的なデータ複製が可能。
  ・リージョン内・クロスリージョン両方に対応。
  ・最短 5 分間隔でレプリケーション可能（RPO/RTO/パフォーマンスを考慮して設定）。

• SnapMirror の技術的特徴
  ・高可用性と効率的な災害対策に有効。
  ・ONTAP の Snapshot 技術を活用。
  ・差分データのみを転送することで、ネットワーク帯域を節約し、高速なレプリケーションを実現。

以下の2つのデプロイタイプを提供する。
コストを抑えたい用途にはシングル AZ。高い可用性・耐障害性が必要な業務にはマルチ AZ。