概要
Amazon S3 Access Grants で、複数の AWS アカウントにまたがるすべてのグラントを 1 回の API 呼び出しで取得できるようになりました。ListCallerAccessGrants に新しい InstanceScope パラメータを追加することで実現しています。
変更内容
- ListCallerAccessGrants リクエストに新パラメータ InstanceScope が追加されました。
- InstanceScope を ALL に設定すると、AWS Resource Access Manager (AWS RAM) 経由で共有されたすべてのインスタンスのグラントを 1 回の呼び出しで取得できます。
- レスポンスには各グラントを所有するアカウントの情報が含まれます。
- GetDataAccess で InstanceScope を ALL に設定すると、S3 パスに対応するアカウントを自動的に特定し、そのインスタンスへリクエストをルーティングして認証情報を返します。
- この機能は S3 Access Grants が利用可能なすべての AWS リージョンで追加コストなしで利用できます。
- AWS SDK、API、CLI から利用できます。
公式発表で確認できる事実
- Amazon S3 Access Grants の ListCallerAccessGrants API に新しいパラメータ
InstanceScopeが追加されました。 InstanceScopeをALLに設定することで、自身の S3 Access Grants インスタンスと AWS Resource Access Manager (AWS RAM) 経由で共有されたすべてのインスタンスのグラントを 1 回の呼び出しで取得できます。- レスポンスには各グラントを所有するアカウントの識別情報が含まれます。
- GetDataAccess で S3 パスを指定する際に
InstanceScopeをALLに設定すると、所有アカウントの特定とリクエストのルーティングが自動的に行われ、一致するグラントの認証情報が返されます。 - S3 Access Grants が利用可能なすべての AWS リージョンで利用できます。
- 追加コストはありません。
- AWS SDK、API、CLI から利用できます。
当サイトの考察
マルチアカウント構成で S3 データへのアクセス権を一元管理したい場合、これまではアカウントごとに個別のクエリが必要でした。今回の機能追加により、アクセス権の棚卸しや監査作業の効率化が期待できます。AWS RAM と組み合わせてグラントを共有している組織では、特に恩恵を受けやすい改善です。
確認できていない事項
- 東京リージョンおよび大阪リージョンでの提供可否（資料には「S3 Access Grants が利用可能なすべての AWS リージョン」とのみ記載）
- 具体的な提供開始日
- 東京（ap-northeast-1）と大阪（ap-northeast-3）での提供は、公式記事からは確認できていません。
この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。
既存環境への影響
これまで複数アカウントのグラントを確認するには各アカウントを個別にクエリする必要がありましたが、1 回の API 呼び出しで完結するようになります。マルチアカウント環境での S3 データアクセス管理が大幅に簡素化されます。GetDataAccess でも同様に、アクセス先アカウントを手動で特定する手間がなくなります。
対応の必要性
対応不要
既存の環境に対する必須の変更はありません。マルチアカウント環境で S3 Access Grants を利用している場合は、新しい InstanceScope パラメータの活用を検討できます。
利用可能リージョン
- 東京（ap-northeast-1）
- 未確認
- 大阪（ap-northeast-3）
- 未確認
公式記事に東京（ap-northeast-1）と大阪（ap-northeast-3）の記載がないため、未確認としています。
AWS 公式情報
- Amazon S3 Access Grants now support listing grants across multiple AWS accounts（Amazon Web Services・新しいタブで開く）
公式発表：2026/11/10 23:00 取得：2026/11/12 06:02
当サイトの記事は公式情報をもとに編集したものです。正確な内容は必ず AWS 公式情報をご確認ください。
