S3アクセスキーを中断なくローテーションする

S3認証情報は1つのdosya APIキーに属し、その場で再生成することはできません。安全にローテーションするには、別のAPIキーを作成して新しいS3認証情報のペアを有効にし、動作を確認してクライアントを移行してから、古いキーを失効させます。

始める前に

古いアクセスキーIDのすべての使用先を洗い出してください。親キーのスコープ、S3の利用設定、ワークスペースまたはフォルダーアンカー、IP範囲、利用可能時間、有効期限、使用量の制限を記録します。重複した設定を作成は表示されている制限をコピーしますが、使用量の制限は空になり、有効期限は有効期限なしに戻ります。

新しい40文字のS3シークレットは一度だけ表示されます。コマンドライン、スクリーンショット、チケットではなく、クライアントのシークレットマネージャーに保存してください。

手順

1. プロフィール → API（APIキー）を開き、古いキーを展開して重複した設定を作成を選択します。
2. ローテーション用と分かる名前を新しいキーに付け、必要な使用量の制限と有効期限を再設定します。「S3」ゲートウェイを有効にしたまま、キーを生成を選択します。
3. 新しい行を展開して有効化を選択し、S3認証情報に表示される新しいアクセスキーID、シークレットアクセスキー、エンドポイント、リージョンを保存します。
4. 1つのテストクライアントに新しいペアを設定し、対象のワークスペースまたはプレフィックスでスコープに許可された操作を確認します。
5. すべての本番クライアントで古いペアを置き換え、必要に応じて再起動または再読み込みし、新しいキーでリクエストが成功することを確認します。
6. 古いAPIキーの行で招待を取り消すを選択してAPIキーを無効化し、取り消せない操作の確認ダイアログで確定します。下記のキャッシュ期間を考慮し、影響のないリクエストで古いS3 IDがInvalidAccessKeyIdとして拒否されることを確認します。

期待される結果

新しいリクエストは代替ペアで認証されます。古いAPIキーを削除すると、通常のAPIキーキャッシュと紐付くS3認証情報キャッシュの両方の無効化が始まりますが、別のワーカーアイソレートやエッジキャッシュでは、画面上の確認後もしばらく認可が残る場合があります。APIキーキャッシュのTTLは5分です。テスト済みの代替ペアを使い続け、古いペアでのリクエストが拒否されるまで、影響のない操作を試してください。テストが終わるまで両方を有効にしておけば、ダウンタイムはありません。

新しいS3認証情報のペアを有効にできない場合は、代替キーにS3が含まれ、有効期限が切れておらず、ユーザーのロールでS3が許可されたワークスペースに固定されていることを確認してください。**S3 credentials already exist for this API key. Delete and recreate to regenerate.**は、その場でのシークレットのローテーションに対応していないことを示します。

関連ガイド

• S3互換ツールで接続する
• S3アクセスの問題を解決する