アカウントレベルのS3ブロックパブリックアクセスをLambda(Python3)から有効化する

鈴木純

2022.03.07

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

LambdaからアカウントレベルのS3ブロックパブリックアクセスを有効化したので、サンプルとしてコードを置いておきます。ご自由にお使いください。

S3ブロックパブリックアクセスの詳細については以下ブログをご参照ください。

サンプルコード

先にLambdaで利用するコードを載せておきます。LambdaのランタイムはPython3.8で動作確認をしています。

ログの出力や有効後のリソースチェックはしていますが、あくまでサンプルとしてご利用ください。

アカウントレベルのS3ブロックパブリックアクセスを有効化する

import logging
import boto3
from time import sleep

logger = logging.getLogger()
logger.setLevel(logging.INFO)

def put_public_access_block(account_id: str) -> None:
    try:
        s3 = boto3.client("s3control")
        s3.put_public_access_block(
            PublicAccessBlockConfiguration={
                'BlockPublicAcls': True,
                'IgnorePublicAcls': True,
                'BlockPublicPolicy': True,
                'RestrictPublicBuckets': True
            },
            AccountId = account_id
        )
        logger.info(f'Succeeded to put s3 bucket public_access_block: {account_id}')
    except Exception as e:
        logger.info(f'Failed to put s3 bucket public_access_block: {account_id}')
        logger.error(e)

def is_public_access_block(account_id: str) -> bool:
    try:
        s3 = boto3.client("s3control")
        res = s3.get_public_access_block(
            AccountId = account_id,
        )
        return all(res["PublicAccessBlockConfiguration"].values())
    except Exception as e:
        logger.error(e)
        return False

def lambda_handler(event, context):

    #アカウントID取得
    account_id = boto3.client("sts").get_caller_identity()["Account"]

    #アカウントレベルのS3のBPA有効化
    put_public_access_block(account_id)

    # 有効化直後だとgetできない場合があるため5秒待機
    sleep(5)

    is_resources = {
        "s3_account_level_bpa_enabled": False,
    }
    is_resources["s3_account_level_bpa_enabled"] = is_public_access_block(account_id)

    # is_resourcesにFalseがないか確認
    if not all(is_resources.values()):
        logger.error("Failed to enable s3 account level public_access_block")
        logger.error(
            f"is_resources: {is_resources}"
        )
        raise Exception('Fail to check resource')

    logger.info("Completed to enable s3 account level public_access_block")
    logger.info(
        f"is_resources: {is_resources}"
    )
    return {
        "is_resources": is_resources
    }

数回に一度有効化からリソースチェックまでが早すぎて失敗するケースがあったので、有効化後にsleepを5秒入れてます。特に根拠はないですが、余裕を持たせて5秒を設定しています。

アカウントレベルのS3ブロックパブリックアクセスを無効化する

実際に利用する際にはテストのために無効化したいこともあると思うので、無効化できるコードも置いておきます。こちらはリソースの状態チェックまではしてません。

import boto3
import logging

logger = logging.getLogger()
logger.setLevel(logging.INFO)

def delete_public_access_block(account_id: str) -> None:
    try:
        s3 = boto3.client("s3control")
        s3.delete_public_access_block(
            AccountId = account_id
        )
        logger.info(f'Succeeded in disable s3 bucket public_access_block: {account_id}')
    except Exception as e:
        logger.info(f'Failed in disable s3 bucket public_access_block: {account_id}')
        logger.error(e)
        
def lambda_handler(event, context):
    #アカウントID取得
    account_id = boto3.client("sts").get_caller_identity()["Account"]
    #アカウントレベルのS3のBPA有効化
    delete_public_access_block(account_id)