S3 の静的Webサイトに特定の VPC からしかアクセスできなくする方法

こんにちは！イーゴリです。

Amazon S3 を使用して静的ウェブサイトをホスティングする（HTTPアクセス）機能はとても便利ですね。 S3のStatic Website Hostingに特定の VPC からしかアクセスできなくする方法について検証しましたので、共有致します。

今回のブログの要件としては下記です。

インターネットからS3にアクセスができない
特定のVPCからアクセスができる

イメージ図
前提条件
S3バケットの作成
index.htmlのアップロード
ウェブサイトのホスティングの有効化
バケットポリシーの設定
S3 Gateway Endpointの作成
EC2からS3のWeb Pageにアクセスできるか確認する

イメージ図

前提条件

VPCのパブリックサブネットにNAT GWがあること
EC2が存在していること（WebPageへのアクセスの確認のため）

S3バケットの作成

docs.aws.amazon.com

index.htmlのアップロード

試しに下記のindex.htmlをS3にアップロードします。

<!DOCTYPE html>
<html>

<head>
    <title>My Page</title>
</head>

<body>
    <h1>Hello, World!</h1>
</body>

</html>

ウェブサイトのホスティングの有効化

docs.aws.amazon.com

上記の設定の有効化後に下記のようなバケットウェブサイトエンドポイントが表示されますので、このバケットウェブサイトエンドポイントのURLを控えます。

バケットポリシーの設定

私の場合、特定のVPCからすべてのアクションを許可したいため、下記のポリシーを使います。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowVPC",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::<バケット名>",
                "arn:aws:s3:::<バケット名>/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpc": "<vpc-id>"
                }
            }
        }
    ]
}