ストレージバケットの認可ルールをカスタマイズ

アプリケーションのすべての認証済み（つまり、サインインしている）ユーザーにmedia/配下のファイルへの読み取りアクセスを許可するには、以下のaccess設定を使用します。

export const storage = defineStorage({
  name: 'myProjectFiles',
  access: (allow) => ({
    'media/*': [
      allow.authenticated.to(['read']) // ユースケースに応じて「write」や「delete」などの追加アクションを指定することができます
    ]
  })
});

defineAuthオブジェクトでauth設定時にユーザーグループを設定している場合、ストレージアクセスを特定のグループにスコープできます。この例では、adminグループとauditorグループを持つdefineAuth設定があると想定します。

import { defineAuth } from '@aws-amplify/backend';

export const auth = defineAuth({
  loginWith: {
    email: true
  },
  groups: ['admin', 'auditor']
});

以下のaccess定義を使用して、監査役はmedia/*への読み取り専用アクセス権を持ち、管理者はフルアクセス権を持つようにアクセス許可を設定できます。

export const storage = defineStorage({
  name: 'myProjectFiles',
  access: (allow) => ({
    'media/*': [
      allow.groups(['auditor']).to(['read']),
      allow.groups(['admin']).to(['read', 'write', 'delete'])
    ]
  })
});

複数のグループが同じアクション群を必要とする場合、これを単一のルールに組み込むことができます。

export const storage = defineStorage({
  name: 'myProjectFiles',
  access: (allow) => ({
    'media/*': [
      allow.groups(['auditor', 'admin']).to(['read', 'write'])
    ]
  })
});

場合によっては、ファイルのアップロード者だけが、そのファイルに対してアクションを実行できるようにしたい場合があります。たとえば、音楽共有アプリでは、誰でも曲を聴くことはできますが、その曲をアップロードした本人だけがそれを削除できます。

Amplify Storageでは、entity_idを使用してユーザーを表現し、ファイルを個別ユーザーにスコープすることで、これを実現できます。

entity_idは予約されたトークンで、ファイルがアップロードされるときにユーザーの識別子に置き換えられます。パスへのアクセスを定義するときに、allow.entity(<identification_method>).to([..]) のように識別方法を指定できます。

現在、Identity Poolが唯一の利用可能な識別方法です - allow.entity('identity').to([..])

以下のポリシーは、認証済みユーザーに、彼らのアイデンティティIDに一致するmedia/へのフルアクセスを許可します。

export const storage = defineStorage({
  name: 'myProjectFiles',
  access: (allow) => ({
    'media/{entity_id}/*': [
      // {entity_id} はユーザーのアイデンティティIDに置き換えられるトークンです
      allow.entity('identity').to(['read', 'write', 'delete'])
    ]
  })
});

アイデンティティIDがuser123のユーザーは、media/user123/*内のファイルに対して読み取り/書き込み/削除操作を実行できますが、他のパスにあるファイルに対してはアクションを実行できません。

同様に、アイデンティティIDがuserABCのユーザーは、media/userABC/*内のファイルに対してのみ読み取り/書き込み/削除操作を実行できます。このようにして、各ユーザーに、他のユーザーがアクセスできないストレージパスへのアクセスを許可できます。

以下の例は、誰でもプロフィール写真を表示できますが、所有者だけが修正/削除できるアクセスを定義する方法を示しています。

export const storage = defineStorage({
  name: 'myProjectFiles',
  access: (allow) => ({
    'media/profile-pictures/{entity_id}/*': [
      allow.entity('identity').to(['read', 'write', 'delete']),
      allow.guest.to(['read']),
      allow.authenticated.to(['read'])
    ]
  })
});

ゲスト、認証済みユーザー、ユーザーグループ、またはリソースのルールが{entity_id}トークンを含むパスに適用される場合、トークンはワイルドカード（*）に置き換えられます。これは、_任意の_ユーザーがアップロードしたファイルにアクセスが適用されることを意味します。上記のポリシーでは、書き込みと削除は所有者のみに制限されていますが、読み取りはmedia/profile-pictures/*/*内の任意のファイルについてゲストユーザーと認証済みユーザーに対して許可されています。

アプリケーションユーザーにストレージファイルへのアクセス権を付与するだけでなく、バックエンド関数にストレージファイルへのアクセス権を付与することもできます。これは、画像のサイズ変更や古いファイルの自動削除などのユースケースを実現するために使用できます。以下の設定は、関数アクセスを定義するために使用されます。

import { defineStorage, defineFunction } from '@aws-amplify/backend';

const demoFunction = defineFunction({});

export const storage = defineStorage({
  name: 'myProjectFiles',
  access: (allow) => ({
    'media/*': [allow.resource(demoFunction).to(['read', 'write', 'delete'])]
  })
});

これにより、関数demoFunctionにmedia/*内のファイルを読み取り、書き込み、削除する機能が付与されます。

関数にストレージへのアクセス権が付与されると、ストレージで設定されたAmazon S3バケット名を含む環境変数も受け取ります。この環境変数は、ストレージバケットにAWS SDKコールを実行するために関数で使用できます。環境変数は<storage-name>_BUCKET_NAMEという名前です。上記の例では、myProjectFiles_BUCKET_NAMEという名前になります。

関数リソースアクセス環境変数について詳しく学ぶ