【Amazon S3（Simple Storage Service）】
Amazon S3（Simple Storage Service）は安価で耐久性が高い、フルマネージドのオブジェクトストレージサービスです。フルマネージドサービスとは、OSやソフトウェアのパッチ適用、バックアップや高可用性の設計、自動スケーリングなどをユーザーが意識せずに利用できるサービスのことです。

S3のストレージタイプである「オブジェクトストレージ」とは、ディレクトリのような階層構造を持たず、データに固有IDを付与した「オブジェクト」として扱うストレージのことです。オブジェクトに割り当てられる固有IDは「オブジェクトキー」と呼ばれ、各データはオブジェクトキーによって一意に特定できます。

【S3の構成要素】
「オブジェクト」が保存される領域を「バケット」と呼びます。一つのバケットにはオブジェクトを無制限で保存できます。バケット名はグローバルで一意にする必要があり、作成したバケットのバケット名は変更できません。各オブジェクトにはリージョン、バケット名、オブジェクトキーが含まれたURLが付与され、HTTP/HTTPS経由でS3オブジェクトへアクセスできます。また、オブジェクトキーの先頭部分にプレフィックスと呼ばれる文字列を付与することで、フォルダのような階層構造でオブジェクトをグルーピングすることも可能です。


【ストレージクラス】
Amazon S3のストレージには複数の種類（ストレージクラス）があります。ユーザーはデータへのアクセス頻度、必要とする可用性、最小保存期間などに応じて保存するストレージクラスを選択します。
オブジェクトアップロード時のデフォルトのストレージクラスは「S3 Standard」です。ストレージクラスは、オブジェクトの設定画面や後述するライフサイクルで変更できます。

[ストレージクラスの一覧]


[ストレージクラスの比較表]


■ライフサイクル
S3バケット内のデータに対して、ストレージクラスの変更やオブジェクトの削除を自動化する機能です。指定した期間が経過したデータを自動的に、よりコストパフォーマンスの高いストレージクラスへ移動したり、保管期限の過ぎたデータを削除したりできます。アクセス頻度が予測できるデータや、保管期間が決められているデータのバケットに設定することで、コスト削減の効果が期待できます。

下記の図では、オブジェクト作成から30日後に「S3 Standard-IA」へ、60日後に「S3 Glacier Flexible Retrieval」へ移動させるように、ライフサイクルを設定しています。


【静的Webサイトホスティング】
バケットに保存している静的コンテンツ（HTMLやJPGなど）をWebサイトとして公開できる機能です。静的Webサイトホスティングがサポートしているコンテンツには、JavaScriptなどクライアント側で実行されるスクリプトも含みますが、PHP、JSP、ASP.NET などサーバー側で実行されるスクリプトは含みません。
Webサイトとして公開したい静的コンテンツのあるバケットは「静的Webサイトホスティング」を有効にし、バケットをパブリックに読み取り可能になるよう設定します。

[静的Webサイトホスティングの設定画面]


【バージョニング】
バケットに保存しているオブジェクトの世代管理ができる機能です。バージョニングを有効にすると、オブジェクトの更新時には更新前と更新後の両方のオブジェクトが保存され、各オブジェクトに固有のバージョンIDが割り当てられます。オブジェクトの削除時には、オブジェクトを完全に削除する代わりに削除フラグを意味する削除マーカーが付与され、それが最新のバージョンとなります。バージョニングを利用することで、ユーザーが誤ってデータの上書きや削除をしてしまっても元のデータを復元できます。

[オブジェクトのバージョン表示画面]


■MFA Delete
MFA Deleteは、S3のバージョニング機能を使用して管理されているオブジェクトを削除する際に、MFAデバイスの認証が必要となる機能です。MFA（Multi-Factor Authentication：多要素認証）とは、ユーザーIDとパスワードでの認証の際に、追加でワンタイムパスワードや指紋などのバイオメトリクスを使用する認証方法です。MFAデバイスには、物理デバイス（例：YubiKey）と仮想デバイス（例：スマートフォンにインストールされたGoogle Authenticator）があります。
MFA Deleteを利用すると、ルートユーザー（AWSとの契約を行ったアカウント）のみが、世代管理されたデータの削除権限を持つようになります。MFA Deleteが有効になっているバケットのオブジェクトを完全に削除するには、ルートユーザーがMFA認証を行い、削除対象のオブジェクトのバージョンIDを指定します。これにより、誤った削除や不正アクセスによるデータ損失を防ぐことができます。

【Amazon S3 Transfer Acceleration】
S3 Transfer Accelerationは、ユーザーとS3バケット間のデータ転送を高速化する機能です。ユーザーと地理的に近いエッジロケーションから、高パフォーマンスなAWSグローバルネットワークを経由してS3バケットへアクセスするため、安定した高速転送が可能になります。

【S3のアクセス管理】
S3ストレージ上のバケットやオブジェクトは、デフォルトではバケットやオブジェクトを作成したAWSアカウント（S3リソースの所有者）だけがアクセスできます。権限を制限されたIAMユーザー（IAM分野で学習します）や、他のAWSアカウントからS3リソースへアクセスできるようにするには、S3リソースの所有者であるAWSアカウントでオブジェクトやバケットへのアクセス制御を行います。

〇バケットポリシー
バケット単位でアクセス権限を設定する機能です。自AWSアカウントのIAMユーザーや他のAWSアカウントのユーザーに対して、S3リソースへのアクセス権限を設定します。また、アクセス元のIPアドレスやドメイン名によるアクセス制御もできます。


〇ユーザー（IAM）ポリシー
IAMユーザー単位でアクセス権限を設定する機能です。自AWSアカウントのIAMユーザーやグループ、ロールに対して、S3リソースへのアクセス権限を設定します。バケットポリシーとは違い、他のAWSアカウントには設定できません。
ユーザー（IAM）ポリシーによるアクセス権限は、バケットポリシーと同じくアクセス元のIPアドレスやドメイン名によるアクセス制御もできます。


〇ACL（アクセスコントロールリスト）
AWSアカウント単位でアクセス権限を設定する機能です。他のAWSアカウントに対して、オブジェクトもしくはバケットへの読み取り/書き込みを許可します。


【S3のデータ暗号化】
S3のバケットやオブジェクトはデフォルトで暗号化されます。S3のデータ暗号化には「サーバー側の暗号化」と「クライアント側の暗号化」の2種類の方法があります。

〇サーバー側の暗号化（Server Side Encryption:SSE）
データがS3に保存されるタイミングで自動的にS3が暗号化を行います。データを取り出すときはS3がデータを復号して、ユーザーに渡します。


〇クライアント側の暗号化（Client Side Encryption:CSE）
データをS3へアップロードする前にクライアント側で暗号化を行い、暗号化したデータをそのままS3に保存します。データを取り出すときは、暗号化したデータをS3からダウンロードした後、クライアント側で復号します。


【S3 Glacierの復元リクエスト】
「S3 Glacier」や「S3 Glacier Deep Archive」に保存されているデータを「アーカイブ」といいます。アーカイブは直接ダウンロードできないので「復元リクエスト」を行い一旦S3バケットに取り出します。復元リクエストには取り出し時間と料金に応じて3つのオプションがあります。なお「迅速取り出し」は「S3 Glacier」のみ選択できます。

○標準取り出し
S3 Glacier、S3 Glacier Deep Archiveに保存されているデータを取り出す際のデフォルトのオプションです。データの取得に通常で数分～数時間かかります。

○迅速取り出し
追加料金を払って標準取り出しよりも迅速にデータを取り出せます。「迅速取り出し」オプションは250MBまでのデータであれば通常1～5分以内に使用可能になります。

○大容量（バルク）取り出し
大容量のデータを取り出す場合に、標準取り出しより時間がかかりますが取り出し料金が低価格になります。ペタバイト単位のデータを1日かけて取り出します。

【S3インベントリ】
Amazon S3インベントリは、指定したS3バケットやその中の特定のプレフィックスに含まれるオブジェクトの一覧と、各オブジェクトのメタデータ（サイズ、最終更新日、ストレージクラス、オプションでタグ情報など）を自動的に出力する機能です。出力ファイルはCSV、ORC、またはParquet形式に対応しており、日次または週次でレポートが生成されます。