Amazon SNSによるメール通知で指定ドメイン以外のサブスクリプション作成を拒否するポリシーを作ってみた

#AWS

#Amazon SNS

杉金晋

2022.11.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

みなさんこんにちは、杉金です。
メールアドレスのドメイン入力間違いで大量の誤送信が発生したというニュースを見かけました。
mailの「l」が無いというものでしたが、同じ過ちを自分もやってしまいかねないなと思いました。そこで、Amazon SNSで指定ドメイン以外のメールサブスクリプション作成を拒否するIAMポリシーを作ってみました。

IAMポリシー

以下がその拒否を行うポリシーです。拒否のみのポリシーであるため、前提としてSNSのサブスクリプションを作成できる権限を持っており、追加で以下のポリシーをアタッチする想定です。制限をかけているプロトコルはメールのみですので、その他のプロトコルには影響しません。

指定ドメイン以外は拒否（1ドメイン）

ドメイン「@gmail.com」以外を拒否するポリシー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "UnmatchMailDomain",
            "Effect": "Deny",
            "Action": "sns:Subscribe",
            "Resource": "arn:aws:sns:*:1234567891012:*",
            "Condition": {
                "StringEquals": {
                    "sns:Protocol": "email"
                },
                "StringNotLike": {
                    "sns:Endpoint": "*@gmail.com"
                }
            }
        }
    ]
}

指定ドメイン以外は拒否（2ドメイン以上）

配列を使って複数のドメインを指定します。以下の例では2つのドメインを指定していますが、ドメインを追加する場合は以下のポリシーを参考に末尾をカンマで区切って繋げていきます。（最後の要素はカンマ不要です）ポリシーのサイズ上限まで複数設定できます。試しに20ドメインぐらいやってみましたが、特に問題ありませんでした。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "UnmatchMailDomain",
            "Effect": "Deny",
            "Action": "sns:Subscribe",
            "Resource": "arn:aws:sns:*:1234567891012:*",
            "Condition": {
                "StringEquals": {
                    "sns:Protocol": "email"
                },
                "StringNotLike": {
                    "sns:Endpoint": [
                        "*@gmail.com",
                        "*@yahoo.co.jp"
                    ]
                }
            }
        }
    ]
}